Vom Plug-and-Play zur Over-the-Air-Kompromittierung: Warum der Herilary C-4 CarPlay-Hack ein Weckruf für den EU Cyber Resilience Act ist

Cybersecurity Insight Report

Drahtloses Apple CarPlay ist zu einer begehrten Funktion für moderne Autofahrer geworden, was zu einem boomenden Markt für Aftermarket-USB-Dongles geführt hat, die die Lücke bei älteren Infotainment-Systemen schließen. Die Bequemlichkeit der kabellosen Konnektivität verschleiert jedoch oft alarmierende Sicherheitsmängel.

Eine aktuelle Untersuchung des Sicherheitsforschers Louis Erbkamm zum 50-Dollar-Dongle „Herilary C-4“ – hervorgehoben im IT4Sec-Cybersecurity-Newsletter – deckte eine katastrophale Kette von Schwachstellen auf. Innerhalb weniger Stunden demonstrierte Erbkamm, wie ein lokaler Angreifer eine Zero-Click-Kompromittierung über die Luft (Over-the-Air) erreichen und in weniger als einer Minute eine persistente Root-Shell erlangen konnte.

Abgesehen davon, dass dies eine faszinierende technische Fallstudie ist, dient diese Forschung als eklatantes Beispiel dafür, warum der bevorstehende Cyber Resilience Act (CRA) der Europäischen Union nicht nur bürokratischer Aufwand, sondern eine absolute Notwendigkeit für die Verbrauchersicherheit ist. Hier ist eine detaillierte Analyse der Anatomie des Angriffs und warum Geräte wie dieses bald mit einer harten legislativen Abrechnung auf dem europäischen Markt konfrontiert sein werden.

Die Anatomie des Angriffs: Over-the-Air-Firmware-Hijacking

Der Herilary C-4 arbeitet als Standard-Embedded-Linux-System auf einem Allwinner V831 SoC. Um mit einem iPhone zu kommunizieren, sendet der Dongle seinen eigenen WLAN-Access-Point aus. Von dort aus löst sich die Sicherheit fast sofort auf.

1. Die Vordertür steht weit offen

Der initiale Angriffsvektor erfordert kein ausgefeiltes Cracking. Das Gerät sendet ein WLAN-Netzwerk aus, das durch ein global fest codiertes, unveränderbares Passwort gesichert ist. Jede Person in physischer Nähe des Fahrzeugs kann die Standard-Zugangsdaten online nachschlagen und sich mit dem Netzwerk des Dongles verbinden.

2. Nicht authentifizierte Web-Schnittstellen

Sobald man sich im Netzwerk befindet, kann ein Angreifer auf die lokale Web-Schnittstelle des Dongles zugreifen, die für Over-the-Air-Updates (OTA) und das Protokollmanagement verwendet wird. Erbkamm entdeckte, dass diese Schnittstelle absolut keine Authentifizierung aufweist. Jeder Client im Netzwerk kann mit den Common Gateway Interface (CGI)-Endpunkten interagieren.

3. Die Illusion der Firmware-Integrität

Durch die Analyse des Update-Mechanismus des Geräts stellte der Forscher fest, dass das Firmware-Paket (ein SWUpdate-Format) völlig unverschlüsselt ist. Kritischer ist jedoch, dass das Gerät keine kryptografische Signaturprüfung erzwingt (wie Secure Boot oder signierte OTA-Updates). Die einzige Integritätsprüfung ist eine rudimentäre MD5-Prüfsumme – ein Hashing-Algorithmus, den ein Angreifer leicht neu berechnen kann.

4. Erlangen von Root-Rechten

Da die Firmware nicht authentifiziert ist, konnte Erbkamm die Firmware extrahieren, das interne Linux-Dateisystem modifizieren und eine benutzerdefinierte CGI-Webshell in die Startup-Skripte injizieren. Nach dem erneuten Packen der Firmware und der Neuberechnung des MD5-Hashs genügte ein einziger `curl`-Befehl, um das bösartige Update auf den Dongle zu übertragen.

Das Gerät akzeptierte die Datei bereitwillig, flashte sich selbst und startete neu. Da dem Dongle eine Privilegientrennung fehlt und alle Dienste als `root` (UID 0) ausgeführt werden, gewährte die injizierte Webshell dem Angreifer eine sofortige, persistente und nicht authentifizierte administrative Kontrolle über das Gerät.

Ein IoT-Horrorkabinett

Die Root-Shell war nur die Spitze des Eisbergs. Die Zerlegung enthüllte eine ganze Reihe von fahrlässigen technischen Praktiken:

• Fest codierte Cloud-Zugangsdaten: Die Firmware enthielt fest codierte Alibaba Cloud-Zugriffsschlüssel, die verwendet wurden, um Diagnoseprotokolle der Benutzer (einschließlich MAC-Adressen und Systemdaten) auf Server in China hochzuladen – ohne Datenschutzrichtlinie oder Zustimmung der Benutzer.
• Keine Netzwerkfilterung: Dem Gerät fehlen iptables oder eine grundlegende Firewall. Jeder Dienst lauscht auf 0.0.0.0, wodurch ein Dutzend TCP-Ports für jeden im WLAN-Netzwerk offenliegen.
• Triviale Passwörter: Ein knackbarer, DES-gehashter Standard-Root-Passwort-Hash befand sich in der Datei /etc/shadow.
• Gefälschte Hardware: Das Gerät verwendete gefälschte Apple MFi (Made for iPhone) Authentifizierungs-Chips, was sowohl Sicherheits- als auch rechtliche Risiken birgt.
• Kein Meldeweg für Schwachstellen: Die Marke „Herilary“ ist ein White-Label-Unternehmen ohne erreichbaren Sicherheitskontakt, was eine verantwortungsvolle Offenlegung von Schwachstellen unmöglich macht.

Der EU Cyber Resilience Act (CRA) tritt auf den Plan

Jahrelang haben die Märkte für IoT und Unterhaltungselektronik nach der Mentalität „Ausliefern und Vergessen“ agiert. Der EU Cyber Resilience Act (EU 2024/2847), der Ende 2024 in Kraft getreten ist und dessen strikte Durchsetzungsfristen für 2026 und 2027 näher rücken, soll genau dieses Paradigma beenden.

Würde der Herilary C-4 nach den kommenden CRA-Mandaten bewertet, würde er bei mehreren wesentlichen Anforderungen kläglich scheitern:

1. Sicherheit durch Design und Voreinstellung (Security by Design and Default)

Der CRA verbietet die Verwendung von universellen Standardpasswörtern. Nach der neuen Verordnung müssen Geräte von den Benutzern verlangen, bei der Initialisierung ein eindeutiges Passwort festzulegen, oder mit eindeutigen, randomisierten Zugangsdaten pro Gerät ausgeliefert werden. Der unveränderbare WLAN-Schlüssel des C-4 ist ein direkter Verstoß gegen dieses Mandat. Darüber hinaus schreibt der CRA vor, dass Geräte so konzipiert sein müssen, dass ihre Angriffsfläche minimiert wird. Das Ausführen aller eingebetteten Dienste als `root` und das Fehlen einer lokalen Firewall verstößt gegen das Kernprinzip der minimalen Rechtevergabe (Least Privilege).

2. Sichere, authentifizierte Updates

Der CRA fordert ausdrücklich, dass Produkte mit digitalen Elementen die Integrität und Authentizität von Software-Updates gewährleisten müssen. Die Zeiten, in denen man sich auf eine umgehbare MD5-Prüfsumme verlassen konnte, sind vorbei. Hersteller werden gesetzlich verpflichtet sein, kryptografische Signaturen (wie asymmetrische Schlüsselpaare) zu implementieren, um sicherzustellen, dass nur legitimer, vom Hersteller genehmigter Code auf ein Gerät geflasht werden kann.

3. Umgang mit Schwachstellen und Offenlegung

Erbkamms Unfähigkeit, einen Ansprechpartner beim Anbieter zu finden, verdeutlicht ein massives systemisches Problem. Unter dem CRA ist das Schwachstellenmanagement nicht mehr optional. Ab September 2026 müssen Hersteller:

• Einen klaren, öffentlichen Kontaktpunkt für Sicherheitsforscher unterhalten.
• Einen formalen Prozess zur Behandlung von Schwachstellen dokumentieren.
• Aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden nach Entdeckung an die Agentur der Europäischen Union für Cybersicherheit (ENISA) und die nationalen CSIRTs melden.

White-Label-Distributoren werden sich nicht mehr hinter anonymen Lieferketten verstecken können; das Unternehmen, das das Produkt auf dem EU-Markt in Verkehr bringt, trägt die rechtliche Verantwortung.

4. Datenschutz und Privatsphäre

Die automatisierte Exfiltration von Geräteprotokollen in Cloud-Speicher über fest codierte API-Schlüssel ohne Zustimmung der Benutzer verstößt eklatant gegen die Anforderung des CRA, die Vertraulichkeit gespeicherter und übertragener Daten zu schützen. Geräte müssen standardmäßig mit aktiviertem Datenschutz ausgeliefert werden, um sicherzustellen, dass die Telemetrie sicher, transparent und zustimmungspflichtig (Opt-in) ist.

Fazit

Der Herilary C-4 ist ein perfekter Mikrokosmos des desolaten Zustands des Consumer-IoT. Wenn Autofahrer einen billigen Dongle in ihr Auto stecken, laden sie unwissentlich einen offenen, verwundbaren Linux-Server in das lokale Netzwerk ihres Fahrzeugs ein.

Der EU Cyber Resilience Act stellt einen gewaltigen Wandel in der Verantwortlichkeit dar. Mit Strafen bei Nichteinhaltung von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes können es sich Hersteller nicht mehr leisten, Sicherheit als Nebensache zu behandeln. Erbkamms Forschung beweist, dass die Hürde für die Ausnutzung dieser Geräte gefährlich niedrig ist. Dank des CRA wird die rechtliche Hürde für deren Verkauf bald unüberwindbar sein.