Im Juni stießen Kaspersky-Forscher darauf, dass eine legitime DoFun-Systemanwendung namens TWCore eine unbekannte APK-Datei nachlud. TWCore erhält seine Anweisungen über einen MQTT-Server, der unter cardoor[.]cn betrieben wird — die Verteilung erfolgte also über einen von den Nutzern nicht kontrollierbaren, herstellereigenen Kanal.

Die nachgeladene Anwendung besitzt keinerlei Oberfläche. Es handelt sich um eine Schadsoftware, die Kaspersky JarService nennt. Beim Start entschlüsselt sie einen Lader der zweiten Stufe und führt ihn aus. Dieser nimmt Verbindung zu einem Command-and-Control-Server auf und lädt eine weitere verschlüsselte Komponente nach.

Die finale Nutzlast meldet in regelmäßigen Abständen Geräteinformationen an die Betreiber, darunter Modellbezeichnung, Bildschirmauflösung, WLAN-SSID und MAC-Adresse. Anschließend holt sie sich Befehle von den Angreifern ab; insgesamt unterstützt die Schadsoftware neun Kommandos.

In der beobachteten Praxis luden die Betreiber vor allem ein Reverse-Proxy-Modul mit der Bezeichnung „zhima" nach. Es verwandelt die Head-Unit in einen Knoten eines Proxy-Botnetzes — die Internetverbindung des Fahrzeugs wird damit für Dritte nutzbar, die den Datenverkehr über scheinbar private Anschlüsse leiten wollen. Daneben setzten die Angreifer die Geräte für automatisierte Webanfragen ein, also für Klickbetrug.

Kaspersky betont, dass die Schadsoftware weder den Fahrbetrieb noch kritische Steuerungssysteme des Fahrzeugs beeinträchtigt. Sie sei erkennbar auf Werbebetrug und auf die Vermarktung internetfähiger Head-Units als Proxy-Knoten ausgelegt.

Die Zuordnung zu MoYu stützt sich auf frühere Aktivitäten der Gruppe: Der Akteur wurde bereits mit dem BadBox-Botnetz in Verbindung gebracht, das Android-Geräte in großem Stil kompromittierte. Neu ist an dem nun beschriebenen Fall, dass eine Infektionskette gezielt für Head-Units in Fahrzeugen gebaut wurde — nach Einschätzung der Forscher der erste dokumentierte Vorgang dieser Art.

DoFun bietet neben Hardware auch Automobilsoftware und Cloud-Dienste an und vertreibt generische Android-Head-Units, die als Kommandozentrale für Infotainment, Navigation und Fahrzeugeinstellungen dienen. Wie die Angreifer ursprünglich Zugriff auf den Verteilweg erlangten, ist bislang offen. Kaspersky meldete die Erkenntnisse an DoFun; das Unternehmen antwortete, das Problem sei behoben. BleepingComputer hat beide Unternehmen zu Details des initialen Kompromittierungsvektors angefragt und will die Angaben nachreichen.