Volkswagen: Hacker deaktivieren Airbag über gefälschte Diagnose-Software

Wieder gibt es manipulierte Software bei VW - doch dieses Mal ist der Konzern nicht selbst verantwortlich. Hackern ist es offensichtlich gelungen, die Steuersoftware eines Audi TT so zu manipulieren, dass der Airbag ohne Wissen der Nutzer abgeschaltet werden kann.

Artikel veröffentlicht am 27. Oktober 2015, 13:21 Uhr, Hauke Gierow

Die Software eines Audi TT wurde so manipuliert, dass der Airbag des Fahrzeugs abgeschaltet wird. (Bild: Peter Parks/Getty Images)

Manipulationen in der Software von VW gibt es nicht nur vom Autobauer selbst: Hackern ist es nach eigenen Angaben gelungen, den Beifahrerairbag eines Audi TT mit einer gefälschten Diagnosesoftware zu deaktivieren. Audi ist eine Tochter des VW-Konzerns. Angeblich soll der Hack auch mit andern Modellen von VW funktionieren.

Die Sicherheitsforscher András Szijj,Levente Buttyán und Zsolt Szalay haben nach eigenen Angaben einen Proof-of-Concept entwickelt, mit dem sie den Rechner eines Mechanikers lokal oder über das Netz mit Malware infizieren können. Verbindet der Techniker sein infiziertes Notebook dann über den Diagnose-Port mit dem Auto, können einzelne Funktionen des Autos deaktiviert werden. Im Proof-of-Concept deaktivierten sie den Airbag - eine Warnung gab es nicht.

Dazu schoben sie der Diagnosesoftware eine gefälschte DLL unter. Die gefälschte Datei hatte den gleichen Namen wie die eigentliche DLL und wurde für einen Man-In-The-Middle-Angriff genutzt - sie legte sich zwischen die Diagnose-App und das OBD/Can-Interface des Autos. Die gefälschten Kommandos wurden nach Angaben der Forscher ausgeführt, weil der Hersteller auf eine Signaturprüfung verzichtet hatte.

Mangelhaftes Verschlüsselungsverfahren

Die Forscher kritisieren außerdem, dass extern geladener Code im Speicher nicht regelmäßig auf Integrität überprüft werde und der Hersteller keine wirksame Verschlüsselung einsetze. Tatsächlich würden die Daten nur mit einer statischen Maske per Xor verschlüsselt.

Die Forscher konnten den Inhalt ganzer Sessions mitschneiden und einzelne Befehle identifizieren. So konnten sie nach eigenen Angaben einen Port-Test durchführen, einen vollen Scan aller Systeme initiieren und das Airbag-Modul kontrollieren. Dazu spielten sie dem System eine zuvor aufgezeichnete Session vor, in der das Airbag-Modul abgeschaltet wurde. Zugriff auf das ABS-Modul konnten sie nicht erlangen. Ihr Vorgehen vergleichen die Forscher mit den Stuxnet-Angriffen - auch hier wurden zunächst Rechner von Mitarbeitern infiziert, die dann wiederum spezialisierten Schadcode auf die industriellen Steueranlagen einschleusten.