Aus der Mercedes me App wurden 63 Fahrzeugsteuerbefehle im Klartext extrahiert — darunter Remote Parking (PARK/DRIVE), Türverriegelung (LOCK/UNLOCK), Klimasteuerung und Motorstart.
| Kategorie | Beispiele | Risiko |
|---|---|---|
| Fahrzeugbewegung | PARK, DRIVE, STOP | Critical |
| Zugangssteuerung | LOCK, UNLOCK, OPEN_TRUNK | Critical |
| Motor/Antrieb | ENGINE_START, ENGINE_STOP | Critical |
| Klimasteuerung | CLIMATE_ON, TEMP_SET, SEAT_HEAT | Medium |
| Beleuchtung | LIGHTS_ON, HORN, FLASH | Medium |
| Diagnose | OBD_READ, STATUS_QUERY | Low |
Die Vehicle Commands liegen unverschlüsselt in der APK. In Kombination mit dem fehlenden Certificate Pinning und den per XOR „geschützten“ OAuth-Credentials ergibt sich eine vollständige Angriffskette:
Jeder einzelne Befund wäre allein schon problematisch. Zusammen ergeben sie eine vollständige Kompromittierung der Fahrzeugsteuerung.
Statische Analyse der öffentlich verfügbaren APK. Befehle durch String-Analyse und API-Endpoint-Mapping identifiziert. Kein Fahrzeug wurde kontaktiert oder gesteuert. ISO 29147.