Emil Martesen
En kendt Android-trojaner er dukket op i det kinesiske SAIC’s officielle softwareliste for MG-biler.
Fundet skete midt i en retssag ved Landgericht München I, hvor SAIC Motor Deutschland blev tvunget til at udlevere en 201 sider lang licensliste over den open source-kode, der ligger i bilerne. På side 36, under punkt 1400, står posten “Teardroid-phprat-95a4b56”, dokumenteret i en teknisk gennemgang af sagen.
Teardroid er ikke ukendt for Microsoft. Softwaregiganten klassificerer værktøjet som en trojaner under navnet Trojan:AndroidOS/Teardroid.A og skriver, at den “kan udføre en række handlinger efter en ondsindet aktørs valg på din enhed”. Værktøjet er oprindeligt et Android-botnet, som kan læse kontakter, sms’er, opkaldslister og lokation og desuden eksekvere shell-kommandoer.
Retssag om open source-licenser
Fundet kom for dagens lys via en retssag anlagt af den würzburgske it-advokat Chan-jo Jun, som selv leaser en MG 4. Jun har sagsøgt SAIC Motor Deutschland for at bryde vilkårene i de open source-licenser, hvis kode selskabet bruger i bilerne, konkret manglende ophavsretlige noter, licenstekster og tilbud om kildekode. Sagen har journalnummer 42 O 10595/25.
For at bevise påstanden måtte SAIC lægge licenslisten frem. Og det er dér, Teardroid-posten blev synlig. Jun understreger dog, at fundet ikke i sig selv beviser noget om bilernes reelle funktion. Ifølge Elektroauto-News siger han, at man endnu ikke ved, om og i hvor mange MG-modeller softwaren rent faktisk er indbygget.
Scanner-fejl eller reel malware?
Der er en teknisk grund til at tage en dyb indånding, før man konkluderer noget. Navnet på posten, repository-navn efterfulgt af en commit-hash, ligner ikke en normal software-komponent med versionsnummer. Det tyder på, at listen er lavet ved automatisk kode-scanning, hvor et værktøj har matchet et stykke kode i bilens software mod et snapshot af Teardroid-repositoriet på GitHub.
Softwareudvikleren Sebastian Bergmann gennemgår detaljerne og konkluderer, at det formentlig er en falsk positiv: en delt hjælpefunktion eller et bibliotek, som scanneren har fejlfortolket. Jun accepterer forklaringen som teknisk plausibel, men fastholder ifølge tech-mediet IT-Boltwise, at en licensliste “ikke klares med grep”. Med andre ord: Selv hvis Teardroid ikke aktivt kører i bilen, viser posten, at SAIC ikke har fuldt overblik over egen kode.
Hvad siger MG?
MG Deutschland afviser at kommentere selve sikkerhedsspørgsmålet med henvisning til den verserende retssag. Over for avisen Süddeutsche Zeitung har selskabet ifølge Elektroauto-News alene oplyst, at man “tager emnet meget alvorligt”.
I Tyskland blev der i første halvår af 2026 registreret omkring 16.000 nye MG’er, og MG 4 alene har passeret 30.000 solgte eksemplarer siden lanceringen. Også i Danmark er MG en synlig spiller på elbilmarkedet og har længe konkurreret med Xpeng om titlen som største kinesiske bilmærke. Så længe retssagen kører, og det ikke er teknisk afklaret, hvad Teardroid-posten reelt dækker over, står danske MG-ejere med et åbent spørgsmål om, hvad der ligger inde i bilens infotainment.
