Ausgangspunkt der Infektionen ist laut Kaspersky die Anwendung TWCore, eine legitime Systemkomponente auf DoFun-Geräten, die Analysedaten sammelt und Softwareaktualisierungen verwaltet. TWCore kann darüber hinaus neue Android-Anwendungen herunterladen und installieren – genau diese Funktion nutzten die Angreifer aus, um eine schädliche App namens JarService auf die betroffenen Systeme zu bringen. Ein Zutun der Fahrzeugnutzer war dafür nicht erforderlich.
JarService besitzt keine sichtbare Benutzeroberfläche und dient als Downloader für weiteren Schadcode. Für Fahrerinnen und Fahrer ist eine Kompromittierung dadurch kaum zu bemerken. Die Schadsoftware kann Werbung einblenden und betrügerische Anzeigenklicks erzeugen; das eigentliche Ziel liegt nach Einschätzung der Forscher jedoch im Ausbau eines Botnetzes – also eines Netzwerks infizierter Rechner und anderer internetfähiger Geräte, das Kriminelle aus der Ferne für Cyberangriffe, Betrug und die Umleitung von Datenverkehr nutzen können.
Eines der beobachteten Module verwandelt die infizierten Head-Units in Reverse-Proxys. Fremder Internetverkehr lässt sich dadurch über das befallene Gerät leiten, sodass die Aktivität so aussieht, als stamme sie von der Internetverbindung des Fahrzeugs.
Kaspersky ordnet die Kampagne mit hoher Zuversicht der MoYu Group zu, einem Bedrohungsakteur, der mit der BadBox-Operation in Verbindung steht. BadBox hat in der Vergangenheit Android-Smartphones, Tablets, Streaming-Geräte und weitere vernetzte Produkte kompromittiert. „Trotz der Bemühungen von Sicherheitsfachleuten und Strafverfolgungsbehörden, das BadBox-Botnetz abzuschalten, setzen einzelne mit ihm verbundene Akteure ihre schädlichen Aktivitäten fort und infizieren weltweit Geräte“, schreiben die Kaspersky-Forscher.
BadBox wurde bereits mehrfach mit Schadsoftware in Verbindung gebracht, die schon vor der Auslieferung an Endkunden auf Android-Geräten installiert war. Das Sicherheitsunternehmen HUMAN Security berichtete 2023, mehr als 70.000 Android-Smartphones, TV-Boxen und Tablets von mindestens einem chinesischen Hersteller entdeckt zu haben, die mit zugehöriger Schadsoftware ausgeliefert wurden.
Im Dezember 2024 störten deutsche Behörden das ursprüngliche BadBox-Botnetz, indem sie die Kommunikation zwischen den infizierten Geräten und der Command-and-Control-Infrastruktur der Angreifer unterbrachen. Die Hintermänner tauchten allerdings rasch mit einer aktualisierten Version des Botnetzes wieder auf. Das FBI warnte im vergangenen Jahr, dass BadBox 2.0 gezielt Geräte des Internets der Dinge angreife – darunter TV-Streaming-Boxen, Digitalprojektoren, digitale Bilderrahmen und nachgerüstete Infotainment-Systeme für Fahrzeuge.