Trojan für Autoradios: Wie die Übernahme des Updaters Ihr Auto in einen Proxy-Knoten verwandelt

Am 21. August 2026 veröffentlichte „Kaspersky Lab“ eine Analyse des ersten dokumentierten Malware für Android-Autoradios. Das infizierte Autoradio stiehlt keine Musik und verfolgt keine Routen – es verwandelt sich in einen Knotenpunkt eines residenten Proxy-Pools und in einen Klicker für Werbetricks. Das Wichtigste an dieser Geschichte ist nicht das Auto selbst, sondern die Art der Lieferung: Die Angreifer überredeten den Hersteller nicht, ein SDK einzubauen, sondern kaperten seinen eigenen Firmware-Update-Mechanismus.

Was genau gefunden wurde

Die Kampagne wurde im Juni 2026 entdeckt, der öffentliche Bericht erschien am 21. August. Ziel sind die Autoradios mit Firmware des chinesischen Unternehmens DoFun (Shenzhen Driving Control Technology Co., Ltd), es handelt sich um Aftermarket-Radios, die anstelle des serienmäßigen Autoradios installiert werden. Kaspersky verbindet die Operation mit hoher Wahrscheinlichkeit mit der Gruppe MoYu, die zuvor in der Geschichte des Botnets BADBOX aufgefallen war – einer Plattform, über deren vorinstallierte Backdoors in Firmware bereits 2023 HUMAN Security berichtete.

Die Infektionskette sieht folgendermaßen aus:

1. Einstiegspunkt – legitime Systemanwendung TWCore, die auf DoFun-Geräten für Analysen und Updates verantwortlich ist. Sie erhält Befehle über einen MQTT-Broker auf der Domain cardoor[.]cn, und im Protokoll gibt es ein Flag installNotExists – die Erlaubnis, eine Anwendung zu installieren, die auf dem Gerät noch nicht vorhanden ist.
2. Erste Stufe – Dropper JarService ohne Benutzeroberfläche. Die Nutzlast ist intern mit XOR und einem einbyteigen, linear verschiebenden Schlüssel verschlüsselt.
3. Zweite Stufe – Loader: sendet per POST-Anfrage Informationen über das Gerät an den Steuerserver und erhält Links zur nächsten Phase.
4. Dritte Stufe – Klicker und Loader für Reverse-Proxy: verbindet sich alle 90 Minuten mit C2, unterstützt neun Arten von Befehlen (darunter http, web, loadlib2, deeplink) und lädt das Modul zhima herunter.

Das Modul zhima ist das Herzstück der Operation: Es öffnet eine Rückverbindung zu den Steuerservern (im Bericht sind Adressen wie 107.151.248[.]132 und 128.14.210[.]58, Ports 1337, 7777, 8888, 15000 aufgeführt) und macht das Gerät zu einem Proxy-Knoten. Autoradios eignen sich fast perfekt für diese Rolle: Viele haben einen Slot für eine SIM-Karte und einen ständigen Internetzugang – dieser ist für die Navigation und die besagten Updates erforderlich.

Warum das ein anderes Niveau ist und kein „weiteres Botnet“

Bisher sah die Massenstory über die Herkunft von „grauen“ residenten IPs so aus: Der Hersteller eines billigen Geräts oder der Entwickler einer kostenlosen Anwendung integriert absichtlich ein Monetisierungs-SDK und erhält dafür Geld, während der Benutzer dem ungelesenen EULA zustimmt. Google formuliert in seinem Bericht über die Abschaltung des NetNut-Netzwerks zwei Kanäle, über die Haushaltsgeräte in Proxy-Netzwerke gelangen: Malware wird bereits vor dem Kauf vorinstalliert oder der Benutzer hat selbst eine Anwendung mit verstecktem Proxy-Code heruntergeladen.

Der Fall DoFun passt in keine dieser Kategorien. Hier ist der Hersteller nicht beteiligt und nicht informiert: Sein vertrauenswürdiger Kanal für die Bereitstellung von Updates wurde gekapert. Kaspersky informierte das Unternehmen, und laut den Forschern hat es das Problem behoben. Aber die praktische Schlussfolgerung für den Markt ist unangenehm: Die Überprüfung der Herkunft des Pools nach dem Prinzip „zeigen Sie die Verträge mit Partnern und den Text der Zustimmung“ reicht nicht mehr aus. Der Knoten kann ganz ohne Beteiligung des Herstellers des Geräts erlangt werden.

Ein weiterer wichtiger Aspekt ist die kommerzielle Anbindung. Die Forscher fanden ein Admin-Panel auf der Domain admin.uipoxy[.]com mit Registrierung über Einladungs-Codes. Das heißt, es handelt sich nicht um ein „Botnet um des Botnets willen“, sondern um eine funktionierende Schaufenster, in dem der Verkehr über infizierte Geräte verkauft wird. Parallel entdeckten Experten von Nokia Deepfield unabhängig dasselbe Modul zhima in TV-Boxen. Mit anderen Worten, ein Pool wird sofort aus verschiedenen Gerätekategorien – Boxen und Autoradios – zusammengestellt.

Der Umfang benachbarter Operationen gibt einen Hinweis darauf, warum dies geschieht. Am 2. Juli 2026 schalteten Google gemeinsam mit dem FBI, IRS-CI und Lumen das Netzwerk NetNut ab: Schätzungen von Google zufolge waren mehr als 2 Millionen Geräte betroffen. Allein in der ersten Juniwoche erfasste die Telemetrie von GTIG 316 separate Aktivitätscluster, die über vermutete NetNut-Knoten gingen – von Cyberkriminalität bis zu Gruppen, die sich mit Spionage beschäftigen. Wir haben die Mechanik dieses Marktes in einem separaten Artikel über die Wirtschaft des residenten Pools untersucht.

Warum der Markt das toleriert

Die Antwort ist einfach – der Preis. Laut einer Studie von Proxyway für 2026 sind allein zwischen Anfang 2025 und März 2026 mindestens 56 neue Proxy-Anbieter auf den Markt gekommen, und die meisten neuen residenten Dienste sind White-Label-Lösungen über fremder Infrastruktur; ein erheblicher Teil wird nicht über Suchmaschinen, sondern über Foren wie BlackHatWorld beworben. Im unteren Segment kostet ein Gigabyte residenten Traffics 0,30 Dollar oder weniger – ein solcher Preis ist physisch unerreichbar, wenn der Pool durch Zahlungen an Partner und Verträge mit Betreibern zusammengestellt wird. Genau diese Angebote drücken die Preise des gesamten Marktes nach unten.

Der obere Bereich wächst dabei: Bright Data berichtete von einem jährlichen Wachstum von 50 % und einem Jahresumsatz von etwa 300 Millionen Dollar, NetNut zeigte bis zur Abschaltung im Juli +28 %, und bei anderen Marktteilnehmern variiert das Wachstum zwischen 30 % und Verdopplung im Jahresvergleich. Das heißt, die Nachfrage nach Daten und Zugang wächst schneller als das legale Angebot an Knoten – und die Lücke wird durch Geschichten wie zhima in Autoradios geschlossen.

Was das für diejenigen bedeutet, die Proxys kaufen

Die Versuchung, sich nicht darum zu kümmern, ist verständlich: „Ich bin nicht der Besitzer eines chinesischen Autoradios, das betrifft mich nicht.“ Es betrifft – aber von der anderen Seite des Ladens. Wenn Ihr Anbieter Traffic auf der unteren Ebene des Marktes kauft, können Sie über genau solche Knoten arbeiten. Die Konsequenzen sind durchaus alltäglich:

• Nachbarschaft nach IP. Über denselben Knoten kann zur gleichen Zeit Klickbetrug, Passwortüberprüfung oder Scannen stattfinden. Die Anti-Betrugs-Plattform sieht nicht Sie, sondern den Gesamtruf der Adresse – und beendet die Sitzung, bevor Sie etwas tun konnten.
• Blocklisten. Nach der Veröffentlichung von Berichten und Takedown-Operationen verbreiten sich die Bereiche und spezifischen Adressen schnell in den Reputationsdatenbanken. Die gestern gekaufte „saubere“ IP landet heute auf den Listen.
• Instabilität des Knotens. Ein Autoradio ist kein Heimrouter. Das Auto fährt, das Gerät wechselt zwischen Zellen, ASN und Geo ändern sich; nachts steht das Fahrzeug mit ausgeschaltetem Zündschlüssel, und der Knoten verschwindet einfach mitten in Ihrer Sitzung. Für lange Aufgaben wie Autorisierungen oder das Arbeiten mit dem Warenkorb sind dies garantierte Unterbrechungen.
• Rechtliches und reputationsbezogenes Risiko. Der Traffic, der über ein eindeutig kompromittiertes Gerät läuft, ist eine schlechte Position in jedem Rechtsstreit, besonders wenn Ihr Auftragnehmer „ethische Nutzerzustimmungen“ versprochen hat.

Wie man jetzt den Pool überprüft

Die Fragen an den Anbieter sollten umformuliert werden. Früher reichte „woher IP“ – jetzt ist wichtiger, wie die Kontrolle über die Lebensdauer des Knotens organisiert ist:

1. Wie ist das Modell zur Beschaffung des Knotens. Eigenes Partnernetzwerk mit Zahlungen und klarem Opt-in, Miete beim Betreiber, ISP-Vertrag – oder „großzügiger“ Einkauf bei einem nicht genannten Upstream. Die Weigerung, den Upstream-Level zu benennen, ist an sich schon eine Antwort.
2. Gibt es eine kontinuierliche Überwachung der Reputation. Es reicht nicht, den Knoten einmal zu überprüfen: Eine Adresse, die beim Eingang sauber ist, kann innerhalb von Wochen beschädigt werden. Fragen Sie, wie oft und anhand welcher Quellen der Pool neu bewertet wird und was mit einer Adresse passiert, die auf die Blockliste gelangt.
3. Was wird bei Takedown-Operationen unternommen. Nach der Juli-Geschichte mit NetNut hat sich der Markt neu sortiert. Ein ehrlicher Betreiber hat eine klare Antwort darauf, womit er die ausgefallenen Segmente ersetzt, und nicht Schweigen und sinkende Qualität.
4. Überprüfen Sie selbst. Vor einer ernsthaften Aufgabe sollten Sie die bereitgestellten Adressen durch Reputationsdatenbanken laufen lassen – wie das geht, wird in dem Leitfaden zur Überprüfung von IPs in Blocklisten behandelt. Plus ein einfachster Verhaltenstest: Wenn sich bei einer „residenten“ Adresse innerhalb einer halben Stunde ASN und Stadt ändern, handelt es sich nicht um eine Wohnung.

Praktischer Hinweis: Für Aufgaben, bei denen Vorhersehbarkeit der Sitzung wichtig ist, ist es sinnvoller, residente Proxys mit transparentem Ursprung des Pools zu wählen, und dort, wo ein mobiler Betreiber benötigt wird – mobile Proxys mit einem klaren Netzwerkangebot, und nicht eine zufällige SIM-Karte in einem fremden Auto.

Wenn Sie ein Android-Autoradio oder eine Box haben

Ein separater Teil des Publikums sind die Besitzer genau dieser Geräte. Es gibt kein universelles „Antivirus für Autoradios“, aber mindestens kann Folgendes getan werden:

• Überprüfen Sie, ob die Firmware aktualisiert ist: DoFun hat laut Kaspersky die Schwachstelle geschlossen, daher macht ein Update Sinn.
• Geben Sie dem Gerät keinen ständigen Internetzugang, wenn Sie ihn nicht benötigen: Ohne Netzwerk ist der Knoten nutzlos. Viele Aftermarket-Autoradios benötigen eine Internetverbindung nur sporadisch.
• Überwachen Sie den Traffic auf dem Router oder über die SIM-Karte: Ein ständiger ausgehender Datenstrom von einem Gerät, das „einfach Musik spielt“, ist ein direktes Zeichen. Das gilt auch für TV-Boxen mit inoffiziellen Firmware-Versionen.
• Installieren Sie keine inoffiziellen Builds und Clients aus Drittanbieter-Stores: In der Geschichte mit NetNut war genau dieser Kanal eine bemerkenswerte Quelle für Knoten.

Fazit

Die Geschichte mit DoFun ist nicht interessant wegen der Anzahl der infizierten Maschinen – die hat bisher niemand genannt, und sie ist wahrscheinlich gering. Interessant ist der Präzedenzfall: Um einen residenten Pool zu bilden, ist es nicht mehr nötig, sich mit dem Hersteller des Geräts zu einigen. Es reicht aus, seinen Updater zu kapern. Das bedeutet, dass die untere Preiskategorie des Proxy-Marktes weiterhin mit Knoten gefüllt wird, deren Existenz weder der Besitzer des Geräts noch dessen Hersteller kennt – mit allen Konsequenzen für diejenigen, die über sie arbeiten. Der Unterschied zwischen einem billigen Gigabyte und einem vorhersehbaren liegt genau darin.