Android-bilradio ramt af malware: Sådan tjekker du din bil

Har du eftermonteret en Android-bilradio i din bil, er der en ny grund til at holde øje med den. Sikkerhedsfirmaet Kaspersky har dokumenteret det, der beskrives som det første tilfælde af malware med en infektionskæde skabt specifikt til bilers head units — altså den skærm, der sidder i midterkonsollen. Enhederne bliver ikke bare inficeret ved et uheld. De bliver inficeret gennem deres egen indbyggede opdateringsfunktion.

Malwaren er fundet på Android-baserede bilradioer fra den kinesiske producent DoFun, og formålet er hverken spionage eller afpresning. Den inficerede skærm bliver lavet om til en proxy-node og en annoncesvindel-maskine, som tjener penge til andre, mens du kører. Kaspersky opdagede kampagnen i juni 2026 og offentliggjorde analysen i august.

Hvordan infektionen sker — gennem bilradioens egen opdatering

Det er her, sagen adskiller sig fra næsten al anden Android-malware. Der er ingen falsk app, intet lyssky link og ingen sideloading. Angrebet går gennem TWCore, en legitim systemapp i DoFuns firmware, som har til opgave at indsamle analysedata og hente softwareopdateringer.

TWCore modtager sine instruktioner over en MQTT-beskedserver — den protokol, mange IoT-enheder bruger til at snakke sammen — hostet på domænet cardoor[.]cn. Problemet er en enkelt indstilling i opdateringsmekanismen: et boolsk flag kaldet installNotExists, som gør det muligt at installere apps, der aldrig har ligget på enheden i forvejen. Dermed kan opdateringskanalen bruges til at installere hvad som helst, uden om de normale sikkerhedstjek.

Gennem den kanal blev der leveret en app ved navn JarService. Den har ingen brugerflade og gør intet forsøg på at se legitim ud — den er ren dropper, som dekrypterer sin egen indlejrede nyttelast med simpel XOR-kryptering. Derefter sender et loader-trin oplysninger om enheden til angribernes servere og henter det sidste led i kæden: et modul med det interne navn "zhima".

Hvad malwaren rent faktisk laver i din bil

Zhima kontakter angribernes kommandoservere hvert 90. minut og understøtter ni forskellige kommandoer. Den kan sende HTTP-forespørgsler, køre JavaScript, manipulere udklipsholderen og hente yderligere ondsindet kode ned.

I praksis bruges den til to ting. Den ene er annoncesvindel: bilradioen indlæser reklamer i baggrunden og udløser betaling til svindlerne for visninger, som ingen i bilen nogensinde har set. Den anden — og mere alvorlige for dig som ejer — er reverse proxy. Din bilradio bliver et gennemgangsled, som fremmede kan sende deres internettrafik igennem. Administrationspanelet for zhima på admin.uipoxy[.]com peger ifølge Kaspersky på kendte residential proxy-udbydere, altså tjenester der sælger adgang til rigtige forbrugeres internetforbindelser.

Kaspersky tilskriver kampagnen MoYu Group med høj sikkerhed og kæder den sammen med BADBOX-botnettet, der tidligere har inficeret tv-bokse, projektorer og tablets. Beviserne er blandt andet trådnavne indeholdende "mosdk-host-loader", tjenestenavne der refererer til "Admoyu", og betydeligt infrastruktur-overlap med kendt MoYu-aktivitet.

En vigtig præcisering fra Kaspersky: malwaren rører ikke ved noget, der har med kørsel eller køretøjets sikkerhed at gøre. Din bil bliver ikke fjernstyret, og bremserne er ikke i fare. Skærmen bliver simpelthen udlejet som infrastruktur.

Hvorfor det er relevant i Danmark

Danmark har en stor bestand af ældre biler, hvor det oprindelige infotainmentsystem er forældet eller aldrig havde Apple CarPlay og Android Auto. Løsningen for rigtig mange har været en eftermonteret Android-bilradio til nogle få tusind kroner, købt gennem netbutikker og markedspladser. Det er præcis den kategori enheder, sagen handler om: billige Android-enheder med firmware fra en producent, der sjældent er kendt for brugeren, og som er permanent forbundet til nettet via et SIM-kort eller telefonens hotspot.

Forskellen på sådan en enhed og bilfabrikantens eget system er væsentlig. Når bilproducenten står bag skærmen, følger der en opdateringspolitik og et ansvar med — det er derfor, det er en nyhed i sig selv, når Ford gør Apple Maps til standardnavigation i alle nye elbiler, eller når Apple CarPlay får lov at afspille video i parkeret bil. Ved en eftermonteret enhed er der ingen tilsvarende kæde af ansvar. Producenten sender opdateringer, når det passer dem — og det er netop den kanal, angriberne har misbrugt.

Mønstret er i øvrigt genkendeligt. Vi har set en tilsvarende udvikling på telefoner, hvor Android-malware kan stjæle bankdata helt uden internetforbindelse, og hvor NFC-malware relæer betalingskort i realtid. Det nye her er ikke teknikken, men målet: en enhed de fleste ikke opfatter som en computer.

Sådan tjekker du, om din bilradio er ramt

Der findes ingen antivirus-app til den slags enheder, som er værd at stole på, og du kan ikke se noget på skærmen. Men der er fire ting, du selv kan undersøge.

1. Tjek mærket og firmwaren. Kaspersky peger konkret på DoFun-brandede enheder. Problemet er, at eftermonterede bilradioer ofte sælges under andre navne, mens firmwaren er den samme. Gå ind i enhedens Indstillinger → Om enheden og se, hvad der står under firmware, model og byggenummer. Nævnes DoFun eller TWCore nogen steder, er du i den berørte gruppe.

2. Se efter apps uden ikon. Under Indstillinger → Apps → Vis alle apps kan du se de installerede pakker. Leder du efter noget bestemt, er navnene JarService og TWCore de vigtigste. JarService har ingen brugerflade og hører ikke hjemme på en bilradio.

3. Hold øje med datatrafikken. Bruger din bilradio et SIM-kort, så kig på forbruget. En enhed, der kun skal bruge data til navigation og musikstreaming, men bruger flere gigabyte om måneden i tomgang, laver noget andet. Kører den på din telefons hotspot, kan du se det samme i telefonens dataforbrug pr. app.

4. Læg mærke til varme og træghed. En enhed, der konstant udfører baggrundsforespørgsler, bliver varmere og langsommere end den var. Er skærmen begyndt at hakke uden nogen opdatering som forklaring, er det et signal værd at tage alvorligt.

Hvad gør du, hvis din bil er ramt?

Kaspersky orienterede DoFun om distributionsmetoden, og producenten har efterfølgende meldt, at sikkerhedsproblemerne er rettet. Det er godt nyt for nye enheder — men det hjælper kun dig, hvis rettelsen rent faktisk når frem til den skærm, der allerede sidder i din bil.

Har du en berørt enhed, er der tre realistiske veje:

• Fabriksnulstilling og opdatering. Nulstil enheden, og hent producentens nyeste firmware. Det fjerner det installerede skidt, men beskytter dig ikke, hvis opdateringskanalen stadig er åben for misbrug.
• Afbryd internetforbindelsen. Tag SIM-kortet ud, og lad være med at give enheden adgang til dit hotspot. Uden nettet kan hverken proxy eller annoncesvindel fungere. Du mister onlinefunktioner, men beholder radio, Bluetooth og lokal musik.
• Udskift enheden. Vælger du en ny, så gå efter en model fra en producent med et navn, du kan slå op, og en dokumenteret opdateringspolitik — eller brug en løsning, hvor telefonen leverer softwaren, og skærmen kun er skærm.

Mistænker du, at enheden har været brugt som proxy, bør du også være opmærksom på, at trafikken har kørt ud fra din internetforbindelse. Det er værd at nævne over for dit teleselskab, hvis du har fået advarsler om usædvanlig trafik.

Konklusion

Sagen er lille i antal, men principiel i betydning. Bilens skærm er blevet en netværksenhed på linje med en tv-boks — og den er i praksis lige så uovervåget. De billige Android-enheder, der har fyldt hullet mellem gamle biler og moderne funktioner, kommer med den samme svaghed som alle andre billige IoT-produkter: en opdateringsmekanisme, ingen kigger efter.

Det næste, der er værd at holde øje med, er, om MoYu Group flytter samme metode over på andre producenter af eftermonterede bilradioer. Infektionsvejen er ikke specielt vanskelig at genbruge, og markedet er fyldt med enheder, der bygger på den samme grundfirmware under forskellige mærkenavne.

Kilder: Kaspersky Securelists tekniske analyse hos Securelist samt The Hacker News. Baggrund om Android-sikkerhed hos Google Android Security.