باحث يحوّل مكبر Sound Blaster Katana V2X إلى أداة اختراق عن بُعد

نشر باحث أمني تفاصيل ثغرات في مكبر الصوت Creative Sound Blaster Katana V2X تتيح لمهاجم على مسافة 15 مترًا تقريبًا السيطرة على الجهاز عبر البلوتوث — دون اقتران ودون لمسه — واستخدامه لإرسال ضغطات مفاتيح إلى الحاسوب المتصل به.

بدأ المشروع كمحاولة لكتابة أداة على لينكس للتحكم بالمكبر المتصل عبر USB، وانتهى ببرنامج ثابت مخصص يحوّل الجهاز إلى ما يصفه الكاتب بأنه أداة اختراق (Rubber Ducky) تُدار عن بُعد.

لا مصادقة عبر البلوتوث

يتحكم تطبيق Creative المكتبي بالمكبر عبر مجموعة أوامر خاصة يسميها الباحث بروتوكول CTP اختصارًا لـ Creative Transport Protocol. وعبر USB يتطلب CTP خطوة مصادقة من نوع تحدي واستجابة بمفتاح ثابت يمكن استخراجه من الملفات التنفيذية المرفقة بتطبيق الشركة. أما عبر البلوتوث فهذه الحماية غائبة.

وبتحليل حركة بيانات تطبيق الهاتف الخاص بالشركة اكتشف الباحث أن بيانات الاقتران تُكتب في خاصية BLE وتُقرأ من خاصية أخرى. ثم اتصل بالمكبر من حاسوبه المحمول دون اقتران، وأرسل أمر CTP لقراءة إصدار البرنامج الثابت، فحصل على سلسلة الإصدار كاملة. أي أن أي جهاز داخل المدى يستطيع إرسال أوامر CTP إلى المكبر.

تحديثات بلا توقيع

تجري تحديثات البرنامج الثابت أيضًا عبر CTP. وتحتوي الحزمة على محمّل إقلاع مع وضع استرداد، وصورة البرنامج الثابت الرئيسية، ومجموع تحقق SHA-256 مُلحق في النهاية. ولا يوجد فحص للتوقيع: يقبل الجهاز برنامجًا معدلًا ما دام مجموع التحقق صحيحًا. وقد أكد الباحث ذلك باستبدال العبارة «WELCOME» المعروضة على شاشة المكبر بعبارة «PATCHED».

استغرق تحميل الصورة المعدلة عبر البلوتوث نحو عشر دقائق، وبعدها أعيد تشغيل المكبر وعرض النص المعدل. ولأن مكبر الصوت يقدّم نفسه للحاسوب أصلًا كجهاز واجهة بشرية (HID) للتحكم بمستوى الصوت والوسائط، أضاف الباحث وصف تقرير ثانٍ يجعله يظهر كلوحة مفاتيح، واستخدم روتينًا موجودًا لإرسال بيانات HID. حمولته تستبدل مهمة تشخيصية غير مستخدمة، وتنتظر نحو 20 ثانية حتى يقلع نظام USB، ثم تكتب echo pwned وتضغط Enter بفاصل نحو 20 ميلي ثانية بين الضغطات. وفي هجوم حقيقي كان المهاجم سيفتح صدفة أوامر، ويلصق أمرًا ضارًا، ويعطّل روتين التحديث لمنع محو البرنامج الثابت.

ردّ الشركة

أبلغ الباحث سنغافورة عبر SingCERT بعد فشل محاولتين للتواصل مع Creative من خلال نموذج الدعم؛ ويشير إلى أن الشركة لا تملك جهة اتصال أمنية عامة. واستغرق ردّ Creative نحو شهرين، إذ أبلغت SingCERT في 3 يونيو/حزيران أنها «لا تعتبر هذا ثغرة لأنه لا يمثل خطرًا على الأمن السيبراني». وأُغلق الملف ولا يوجد تحديث من الشركة — البرنامج الثابت الأحدث ما زال عرضة للثغرة.

وكحل جزئي نشر أداة تُنزّل البرنامج الثابت الرسمي، وتعدّله في الذاكرة لتحجب CTP عبر البلوتوث، ثم ترفعه إلى Katana V2X متصل عبر USB. ومن المرجح أن يعطّل هذا الإصلاح تطبيق الهاتف الخاص بالشركة، كما يبقى البلوتوث مفعّلًا حتى في وضع السكون، دون طريقة واضحة لتعطيله.