MG4-software bevat verdachte namen, maar wat zit er werkelijk in de auto?

MG heeft in software- en licentiedocumentatie van de MG4 namen opgenomen die vragen oproepen. Teardroid-phprat, AhMyth en haxRat staan alle drie bekend als Android-RAT's. Dat is software waarmee een apparaat op afstand kan worden benaderd en bediend.

Dat klinkt al snel alsof er spyware in de MG4 zit. Daarvoor is op dit moment geen concreet bewijs. De documenten tonen aan dat deze namen in MG's eigen software-inventarisatie voorkomen. Ze tonen niet aan dat drie complete en werkende trojans daadwerkelijk op auto's draaien, ondanks het feit dat die software door cybercriminelen vaak als trojan wordt gebruikt.

Het begon met de open-sourcelicenties

De zaak kwam niet voort uit een cybersecurityonderzoek, maar uit een juridisch conflict over open-source software. De Duitse IT-jurist Chan-jo Jun heeft de Duitse MG-importeur aangeklaagd omdat het bedrijf volgens hem niet voldeed aan verplichtingen die bij sommige open-sourcelicenties horen.

Open-source software is heel gebruikelijk. Ook Mozilla Firefox, WordPress en LibreOffice zijn bijvoorbeeld open source, net als Android, Linux en veel softwarebibliotheken die in allerlei producten worden gebruikt.

Aan zulke licenties kunnen wel voorwaarden vastzitten. Afhankelijk van de gebruikte software kan een fabrikant verplicht zijn om licentieteksten, copyrightinformatie of broncode beschikbaar te stellen.

In dat kader publiceerde MG software- en licentiegegevens voor de MG4. Daarin doken de namen van de drie zogenaamde RAT's op.

Teardroid, AhMyth en haxRat

In een huidige MG4-licentieverklaring staat Teardroid-phprat vermeld als softwarecomponent, met versie- of commitnummer 95a4b56 en een MIT-licentie. Microsoft classificeert Teardroid als Android-trojan.

Ook AhMyth verschijnt in door MG gepubliceerde softwaredocumentatie. Dat is een openbaar beschikbare Android-RAT waarvan varianten daadwerkelijk voor malware zijn gebruikt. HaxRat komt eveneens in MG4-documentatie voor, met GPL-3.0-or-later als licentie.

IT-jurist Alexander Rohen zegt bovendien een oudere versie van de lijst, van 29 september 2025, te hebben veiliggesteld waarin meerdere vermeldingen van AhMyth, haxRat en Teardroid-phprat stonden.

Drie namen uit dezelfde hoek zijn lastiger af te doen als een toevallige typefout. Toch zit er nog een belangrijke technische stap tussen een vermelding in zo'n lijst en een actieve trojan in de auto.

Een licentielijst is geen actieve broncode

Een mogelijke verklaring is dat MG zo'n softwarelijst automatisch laat samenstellen. Een programma zoekt dan naar stukjes code en probeert te herkennen waar die vandaan komen. Daarbij kan het ook een overeenkomst vinden met code uit een openbaar softwareproject.

Bij Teardroid lijkt dat hier mogelijk te zijn gebeurd. De vermelding in de lijst kan dus betekenen dat delen van de code overeenkomen met Teardroid, zonder dat daarmee vaststaat dat het complete programma in de auto zit.

Dat verschil is groot. Een paar gebruikte bestanden of codefragmenten zijn iets anders dan een volledig werkende RAT die verbinding kan maken met een externe server.

Ook Jun waarschuwt voor een te snelle conclusie. Hij zei over de zwaarste uitleg: "Het zou wel passen in het door vooroordelen gekleurde beeld, maar technisch gezien heeft het weinig zin om je eigen software met zo'n trojan te infecteren."

Met andere woorden: het verhaal past makkelijk in bestaande zorgen over Chinese auto's, maar technisch ligt het niet voor de hand dat een fabrikant bewust zijn eigen software met zo'n trojan zou besmetten.

Toch kan MG dit niet zomaar wegzetten als administratieve fout

Er speelt nog iets. Het gaat niet om een lijst die door een beveiligingsonderzoeker of een andere externe partij is opgesteld. MG publiceert de informatie zelf als software-informatie voor de MG4 en omschrijft de vermeldingen als open-source componenten die in de auto zijn opgenomen. Voor de geïnteresseerden: de open source kennisgevingen van MG kun je hier inzien. Bij de MG4 staat op regel 1.400 duidelijk Teardroid-phprat-95a4b56 vermeld, en daarachter de houder van het auteursrecht (ScRiPt1337, wat een typische alias van een malware-schrijver op hackersforums lijkt te zijn). 

Als zo'n geautomatiseerde scanner Teardroid, AhMyth en haxRat ten onrechte als component heeft herkend, blijft dus de vraag waarom MG die resultaten vervolgens als softwarecomponenten van de MG4 heeft gepubliceerd. Dat zou kunnen betekenen dat de automatisch samengestelde lijst niet goed is gecontroleerd. Zowel de juistheid van de vermeldingen als de naleving van de bijbehorende licentievoorwaarden verdient dan aandacht. De namen Teardroid, AhMyth en haxRat zouden bij een inhoudelijke controle in ieder geval vragen moeten oproepen.

En daarmee komen we op de kwaliteit van de softwareadministratie, die volgens de juristen ook meespeelt. In de aangeleverde analyse van de documenten worden ontbrekende hiërarchieën, onduidelijke gebruiksstatussen, foutieve licentietoewijzingen en niet-passende copyrightvermeldingen genoemd. Dat vraagt wel degelijk om uitleg. Deze slordigheid alleen al is onacceptabel voor een product van tienduizenden euro's dat continu verbonden is met het internet. 

Laten we niet vergeten dat sinds juli 2024 een gecertificeerd Cyber Security Management System (CSMS) verplicht voor nieuwe auto's in de EU. Als de geautomatiseerde licentiescanners van de fabrikant dit soort malware detecteren en niemand binnen dat hele CSMS-proces aan de bel trekt voordat dit openbaar wordt gemaakt, dan mankeert er toch echt wat aan de kwaliteitscontrole. Dan kun je spreken van een heuse compliance-nachtmerrie voor de fabrikant, die in de EU wettelijk verplicht is om zijn softwareketen te kennen. Dan is het uitermate pijnlijk dat er in de open source verklaringen enkele behoorlijk verdache namen staan.

Luistert de MG4 bestuurders af?

Voor MG4-rijders ligt de voornaamste vraag voor de hand: moet je er nu vanuit gaan dat je auto gesprekken afluistert of gegevens wegstuurt?

Daar is op basis van de beschikbare informatie geen bewijs voor.

Er is niet aangetoond dat complete versies van Teardroid, AhMyth of haxRat in productieauto's draaien. Ook is niet bekend of eventuele code uitvoerbaar is, toegang tot het netwerk heeft of verbinding kan maken met een externe server, laat staan dat ze wordt ingezet om de gebruiker te volgen of af te luisteren.

Daarnaast is niet vastgesteld welke modeljaren, uitvoeringen en softwareversies erbij betrokken zijn. Het is dus evenmin zeker dat Nederlandse MG4's precies dezelfde software bevatten.

Claims dat de auto via deze software gekoppelde smartphones kan binnendringen, laadpasgegevens kan stelen of gesprekken via de microfoon kan afluisteren, gaan daarom verder dan wat tot nu toe is aangetoond.

De Chinese wetgeving maakt die vraag wel wat relevanter

Dat het om een Chinees automerk gaat, is bij zo'n discussie niet helemaal los te zien van de juridische positie van Chinese bedrijven. De Chinese Nationale Inlichtingenwet uit 2017 bepaalt in artikel 7 dat organisaties en burgers de nationale inlichtingendiensten volgens de wet moeten ondersteunen, helpen en met hen moeten samenwerken. Zij moeten bovendien geheimhouding betrachten over inlichtingenwerk waarvan ze kennis hebben.

Artikel 14 bepaalt daarnaast dat Chinese inlichtingendiensten organisaties en burgers om de noodzakelijke ondersteuning en medewerking kunnen vragen.

Dat bewijst vanzelfsprekend niet dat SAIC gegevens uit MG4's aan de Chinese overheid doorgeeft. Er is evenmin bewijs dat de drie RAT-vermeldingen daarmee verband houden. Het betekent wel dat de juridische omgeving waarin een Chinese fabrikant opereert verschilt van die van een Europees bedrijf.

Dat is bij een moderne, ‘connected’ auto geen theoretisch detail. Auto's verwerken onder meer locatiegegevens en beschikken over camera's, microfoons en verbindingen met de buitenwereld. Zodra zulke gegevens op afstand toegankelijk zijn, speelt behalve de technische beveiliging ook de vraag wie daar juridisch toegang toe kan krijgen.

De AIVD en MIVD waarschuwen al langer voor Chinese cyberspionage en voor de manier waarop China hoogwaardige technologische kennis probeert te verkrijgen. Ook daarom verdient de herkomst en functie van de drie softwarecomponenten een concreet antwoord van MG.

De Chinese wetgeving maakt van de huidige vondst op zichzelf nog geen spionagezaak, maar vergroot wel het belang van duidelijkheid over welke gegevens een MG4 verzamelt, waar die terechtkomen en wie er toegang toe kan krijgen.

Cybersecurity in auto's is geen theoretisch onderwerp meer

Moderne auto's draaien op veel software en hebben verschillende verbindingen met de buitenwereld. Cybersecurity hoort daarom al lang bij de ontwikkeling en toelating van auto's.

VN-Reglement 155 stelt eisen aan cybersecurity en aan het cybersecuritymanagementsysteem van autofabrikanten. Fabrikanten moeten risico's in hun voertuigen en softwareketen beheersen.

Tegen die achtergrond is de aanwezigheid van namen van bekende Android-RAT's in een eigen softwarelijst reden genoeg voor technische uitleg.

Niet omdat daarmee spionage is bewezen, maar omdat een fabrikant moet kunnen aangeven welke software daadwerkelijk in zijn auto's zit.

MG reageert voorlopig beperkt

De Duitse MG-vertegenwoordiging liet tegenover de Süddeutsche Zeitung weten het onderwerp serieus te nemen, maar ging vanwege de lopende rechtszaak niet inhoudelijk op de kwestie in. EVupdate.nl heeft ook de Nederlandse importeur om uitleg gevraagd. Na navraag bij het Europese verkoopkantoor laat de importeur weten vanwege diezelfde rechtszaak niet inhoudelijk op de RAT-vermeldingen te kunnen ingaan.

Dat argument was te verwachten, maar is toch opmerkelijk te noemen. De procedure van Chan-jo Jun draait om het auteursrecht en de vraag of MG de voorwaarden van open-sourcelicenties naleeft. De vragen die nu rond Teardroid, AhMyth en haxRat spelen, gaan verder: waarom staan deze namen in de officiële softwaredocumentatie van de MG4, welke code is daadwerkelijk gebruikt en hoe heeft die de kwaliteitscontrole kunnen passeren?

Dat zijn vragen over de software en de controle daarop. Dat daar tegelijkertijd een rechtszaak over open-sourcelicenties loopt, neemt die vragen niet weg. MG geeft vooralsnog geen inhoudelijke verklaring voor de drie vermeldingen.

Of de gevonden software in auto's daadwerkelijk een veiligheidsrisico vormt, weten we nog steeds niet. Er is niet aangetoond dat de RAT's als werkende software in de MG4 aanwezig zijn. Juist daarom is een technische verklaring van MG van belang. Eigenaren mogen verwachten dat een fabrikant kan uitleggen welke software in hun auto zit en of die gevolgen heeft voor de beveiliging van hun gegevens.

De Duitse procedure over de open-sourcelicenties loopt ondertussen door. Jun verwacht dat daar later ook andere juridische vragen uit kunnen voortkomen. Die mogelijke gevolgen staan voorlopig los van de technische vraag die eerst moet worden beantwoord.

Daarvoor is meer nodig dan een licentielijst. Pas onderzoek naar de daadwerkelijke software van een concrete MG4, gekoppeld aan een specifieke softwareversie, kan uitwijzen of Teardroid, AhMyth en haxRat werkelijk als uitvoerbare code in de auto aanwezig zijn. 

Voorlopig blijft daarom dezelfde, vrij eenvoudige vraag liggen: waarom staan deze drie namen überhaupt in MG's eigen softwareadministratie?