Android-Autoradio: Wie kommt der Schadcode ins Auto?

Schadsoftware infiziert die Firmware von Android-Autoradios

Michael Dobler

Autor Dr. Web

23. August 2026

2 Min. Lesezeit

Ein nachgerüstetes Android-Autoradio der Marke DoFun installiert fremde Apps, ohne dass der Fahrer etwas bestätigt. Der Weg dorthin führt nicht über eine Sicherheitslücke, sondern über die Update-Funktion des Herstellers. Kaspersky nennt den Fund den ersten belegten Schadcode auf einem Autoradio mit einer gerätetypischen Infektionskette.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Alle 90 Minuten meldet das Gerät Bildschirmauflösung, Modell, WLAN-Kennung und MAC-Adresse an einen Kontrollserver. Dazwischen laufen Klickbetrug und fremder Datenverkehr über die Mobilfunkverbindung des Wagens.

Das Wichtigste in Kürze

Der Schadcode kommt über die Update-App TWCore auf das Gerät, nicht über eine Sicherheitslücke. Ein CVE-Eintrag existiert dazu nicht.
Kaspersky ordnet die Kampagne der MoYu-Gruppe zu, die mit dem Botnetz BadBox verbunden ist.
Das Autoradio greift laut Kaspersky auf einzelne Fahrzeugfunktionen zu und bringt einen eigenen Steckplatz für die SIM-Karte mit.
BadBox stellte im Botnetz-Monitoring des BSI bis zu 58 Prozent der in Deutschland sichtbaren infizierten Systeme.

Wie kommt der Schadcode ohne Sicherheitslücke auf das Gerät?

Autoradio mit Bildschirm und Anhänger: „fährt heimlich mit“ auf weißem Grund — TWCore-Systemanwendung sammelt Nutzungsdaten und installiert über MQTT-Broker cardoor.cn Apps, wenn installNotExists auf true gesetzt ist

Ein Schalter statt eines Exploits. Die Systemanwendung TWCore sammelt Nutzungsdaten und spielt Software-Updates ein. Die Befehle dafür kommen von einem MQTT-Broker unter der Subdomain cardoor.cn. Jede Nachricht führt ein Feld namens installNotExists mit; steht der Wert auf true, installiert TWCore auch Apps, die vorher nicht auf dem Gerät lagen.^[1]

Drei Stufen. Der erste Baustein läuft ohne Bedienoberfläche und entpackt seine Nutzlast aus XOR-verschlüsselten Blöcken. Die zweite Stufe meldet das Gerät bei den Kontrollservern an, die dritte bringt ein Modul für Klickbetrug samt Rückwärts-Proxy namens zhima.^[1] Der gekaperte Anschluss wird anschließend als Wohn-IP-Adresse weiterverkauft. Aus der Router-Welt kennt die Branche das Muster, etwa von der versteckten Tenda-Hintertür.

Warum sind jetzt die Autoradios an der Reihe?

Bekannte Akteure. Kaspersky ordnet die Infrastruktur mit hoher Sicherheit der MoYu-Gruppe zu, die mit dem Botnetz BadBox verbunden ist.^[1] BadBox lief bisher auf TV-Boxen, Tablets und digitalen Bilderrahmen. Google verklagte im Juli 2025 die Betreiber der Nachfolge-Kampagne BadBox 2.0 und bezifferte den Bestand auf mehr als zehn Millionen Geräte.^[4]

Deutschland kennt das Muster. Das BSI kappte im Dezember 2024 bei bis zu 30.000 Geräten hierzulande die Verbindung zu den Kontrollservern der Täter, gestützt auf Paragraf 7c des BSI-Gesetzes.^[2] Im Lagebericht für Juli 2024 bis Juni 2025 führt die Behörde BadBox als größtes hierzulande aktives Botnetz mit bis zu 58 Prozent der infizierten Systeme.^[3] Nach derselben Geschäftslogik arbeitete das Popa-Botnetz, das Millionen TV-Boxen zu heimlichen Proxy-Knoten machte. Auch jede zweite App auf LG-Fernsehern öffnete Fremden einen Durchgang.

Ein nachgerüstetes Autoradio bringt einen eigenen Mobilfunkzugang mit und greift auf Fahrzeugfunktionen zu. Für die Firmware dahinter fühlt sich am Ende niemand zuständig, weder der Autohersteller noch der Händler aus dem Onlinehandel.
— Markus Seyfferth, Chefredakteur Dr. Web

Das Autoradio als Botnetz-Knoten

Kaspersky-Fund von Juni 2026, dazu BSI-Zahlen zu BadBox

Die Kennzahlen des Falls

3 Stufen

Nachlader, Anmelde-Modul und Klickbetrug mit Rückwärts-Proxy

90 Minuten

Meldeintervall des Geräts an die Kontrollserver

8 Varianten

Ausbaustufen des Rückwärts-Proxys zhima, die früheste davon Version 57

BadBox in Deutschland und die Rechtslage

Was das BSI zu BadBox gemessen hat

bis zu 58 Prozent aller im Sinkholing sichtbaren infizierten Systeme, Juli 2024 bis Juni 2025
bis zu 30.000 Geräte im Dezember 2024 von den Kontrollservern getrennt, nach Paragraf 7c BSI-Gesetz
Schadsoftware bereits in der Produktionsphase auf dem Gerät
Zweck laut BSI: Anzeigenbetrug, Proxy-Dienst und Nachladen weiterer Schadsoftware

Welche Regeln greifen

UN-R155 und UN-R156 gelten für die Typgenehmigung des Fahrzeugs, nicht für ein einzeln verkauftes Nachrüstradio
Cyber Resilience Act: Meldepflicht ab 11. September 2026, alle übrigen Anforderungen ab 11. Dezember 2027

Welche Regeln greifen bei einem Nachrüstgerät?

Die Typgenehmigung greift nicht. Für das ab Werk verbaute Infotainment steht der Fahrzeughersteller gerade. Das Kraftfahrt-Bundesamt verlangt vor der Typgenehmigung den Nachweis wirksamer Managementsysteme für Cyber-Security sowie für Software-Updates nach UN-R155 und UN-R156.^[6] Ein Radio, das eine freie Werkstatt einbaut, gehört zu keiner Typgenehmigung und damit zu keinem dieser Managementsysteme.

Der CRA kommt später. Die EU-Cyberresilienzverordnung nimmt Fahrzeuge ausdrücklich aus, weil dort die Typgenehmigung greift. Für ein einzeln verkauftes Nachrüstgerät greift die Verordnung dagegen sehr wohl: Die Meldepflicht für aktiv ausgenutzte Schwachstellen startet am 11. September 2026, alle übrigen Anforderungen am 11. Dezember 2027.^[5]

Zwei Handgriffe im Fuhrpark. Erfassen Sie gerne, welche nachgerüsteten Geräte einen eigenen Mobilfunkzugang besitzen, denn ohne SIM-Karte läuft kein Proxy. Steckt so ein Radio zusätzlich im Firmen-WLAN, gehört der Anschluss in ein eigenes Netzsegment. Die Grundlagen stehen in den Cybersecurity-Grundlagen für KMU und in unserer Übersicht zur Smart-Home-Sicherheit im Homeoffice.