Gardiner untersuchte nach eigenen Angaben die Firmware von drei EC80-Geräten vor und nach dem Update, jeweils eines pro betroffenem OEM. Dabei stellte er fest, dass die Aktualisierung Dutzende Funktionen entfernte. In diesem entfernten Code identifizierte er mehrere Schwachstellen, darunter fehlerhafte Pufferbehandlung, die Abstürze der Steuereinheit und die Ausführung von Programmcode aus der Ferne ermöglichen könne. Außerdem fand er ein hartkodiertes Passwort, mit dem sich die Traktionskontrolle deaktivieren lasse, sowie einen weiteren Fehler, der laut NMFTA einen theoretischen Weg zu Absturz und Programmausführung eröffne.

Die EC80-Steuereinheit ist für Antiblockiersystem, Traktionskontrolle und Stabilitätsfunktionen in schweren Nutzfahrzeugen zuständig. Die Kommunikation läuft über J2497 beziehungsweise PLC4TRUCKS. Dieser Bus ist laut Bericht seit 2001 der einzige Industriestandard, um die bundesrechtlichen Anforderungen an ABS-Warnleuchten von Anhängern zu erfüllen. Nach Angaben der NMFTA ist J2497 aus der Ferne erreichbar, entweder mit einer Technik, die mit einer von der NMFTA 2022 offengelegten Schwachstelle verknüpft ist, oder über ein kompromittiertes Telematikgerät im Anhänger.

Ende 2024 hatten drei OEMs, die das EC80 integrieren, Rückrufe gestartet. Sie betrafen schätzungsweise 450.000 Einheiten, nachdem Bendix Speicherfehler festgestellt hatte, die die ECU außer Betrieb setzen konnten. Bendix führte das Problem auf Leitungsrauschen auf J2497 zurück und lieferte eine Korrektur aus.

Um die Auswirkungen der neu identifizierten Schwachstellen zu prüfen, testeten NMFTA-Forscher zunächst in einer Laborumgebung. Für Fahrversuche auf abgesperrter Strecke setzten sie ein softwaredefiniertes Funkgerät ein, das Signale über den Diagnoseport eines Lastwagens einspeiste und so einen drahtlosen Angriff simulierte. Bei Geschwindigkeiten unter 5 mph sowie um 9 mph beobachteten sie, dass der CAN-Bus-Verkehr nach dem ausgelösten Absturz vollständig stoppte.

Aus diesem Zustand ließ sich die ECU den Forschern zufolge nur durch Abklemmen der Batterie wiederherstellen. Dieser Denial-of-Service führte in den Tests durchgängig zum Ausfall von Tachometer, Lenkunterstützung und Schaltfunktion sowie zu ABS-Pulsieren. Auf die Frage von SecurityWeek, ob diese Effekte Fahrer einem Unfallrisiko aussetzen oder etwa zur Immobilisierung eines Lastwagens bei einem Frachtdiebstahl genutzt werden könnten, erklärte die NMFTA, das hänge stark vom jeweiligen Kontext ab. Direkte Aussagen zu einer gezielten Unfallverursachung seien nicht eindeutig, da die Angriffe dem Fahrer nicht die Kontrolle über das Fahrzeug nähmen.

Gleichwohl seien die Auswirkungen ernst genug gewesen, dass Bendix einen Rückruf veranlasst habe, so die NMFTA. Gardiner kritisierte zugleich, dass keine der behobenen Schwachstellen eine CVE-Kennung erhalten habe, obwohl sie mit dem Update beseitigt wurden. Das könne die sicherheitsrelevante Bedeutung einer öffentlich als reines Sicherheits- beziehungsweise Rückrufupdate dargestellten Maßnahme verschleiern.

Vor der Veröffentlichung informierte die NMFTA nach eigenen Angaben Bendix, zwei der drei betroffenen OEMs sowie NHTSA und Transport Canada. Ob die Korrektur die betroffenen Lastwagen tatsächlich erreicht hat, lässt sich laut NMFTA über den öffentlichen NHTSA-Tracker zum Abschluss von Rückrufen nur uneinheitlich ablesen: Dort lagen die Abschlussquoten für die zugehörigen Kennungen am 16. Juli zwischen 0 und 99 Prozent. Die NMFTA geht davon aus, dass Rückrufquoten branchenweit häufig bei rund 80 Prozent verharren, unter anderem wegen verlorener Ausrüstung und Untererfassung. Nach dem Black-Hat-Vortrag veröffentlichte die NMFTA ein 179 Seiten starkes technisches Whitepaper. Bendix reagierte laut SecurityWeek nicht auf eine Anfrage um Stellungnahme.