მკვლევარმა Sound Blaster Katana V2X დინამიკი დისტანციურ Rubber Ducky-ად აქცია
მკვლევარმა აღმოაჩინა, რომ ნებისმიერს დაახლოებით 15 მეტრის რადიუსში შეუძლია Bluetooth-ით მოდიფიცირებული firmware ატვირთოს Creative Katana V2X-ზე დაწყვილების გარეშე და დინამიკი კლავიატურად აქციოს.
უსაფრთხოების მკვლევარმა გამოაქვეყნა დეტალები Creative Sound Blaster Katana V2X-ის დინამიკის სისუსტეების შესახებ, რომლებიც თავდამსხვერპლს დაახლოებით 15 მეტრის რადიუსში საშუალებას აძლევს Bluetooth-ით დაეუფლოს მოწყობილობას — დაწყვილებისა და შეხების გარეშე — და გამოიყენოს ის იმ კომპიუტერზე კლავიშების გაგზავნისთვის, რომელზეც დინამიკია მიერთებული.
პროექტი Linux-ის ინსტრუმენტის დაწერით დაიწყო USB-ით მიერთებული დინამიკის სამართავად და მოდიფიცირებული firmware-ით დასრულდა, რომელიც მოწყობილობას დისტანციურად მართვად Rubber Ducky-ად აქცევს.
Bluetooth-ზე ავთენტიფიკაცია არ არსებობს
Creative-ის დესკტოპ აპლიკაცია დინამიკს პროპრიეტარული ბრძანებებით მართავს, რომელსაც მკვლევარი CTP-ს (Creative Transport Protocol) უწოდებს. USB-ის შემთხვევაში CTP მოითხოვს challenge-response ავთენტიფიკაციას სტატიკური გასაღებით, რომელიც Creative-ის აპლიკაციის ბინარებიდან გამოდის. Bluetooth-ზე ეს დაცვა არ მოქმედებს.
მწარმოებლის მობილური აპლიკაციის ტრაფიკის მოსმენით მან დაადგინა, რომ დაწყვილების მონაცემები ერთ BLE მახასიათებელში იწერება და მეორიდან იკითხება. შემდეგ ლეპტოპიდან დაწყვილების გარეშე დაუკავშირდა დინამიკს, გაგზავნა CTP ბრძანება firmware-ის ვერსიის წასაკითხად და სრული ვერსიის ტექსტი მიიღო. შესაბამისად, რადიუსში მყოფ ნებისმიერ მოწყობილობას შეუძლია დინამიკს CTP ბრძანებები გაუგზავნოს.
ხელმოუწერელი firmware
firmware-ის განახლებაც CTP-ით ხდება. კონტეინერი შეიცავს bootloader-ს აღდგენის რეჟიმით, მთავარ firmware-ს და ბოლოში დამატებულ SHA-256 კონტროლის ჯამს. ხელმოწერის შემოწმება არ არსებობს: მოწყობილობა მოდიფიცირებულ firmware-ს იღებს, თუ კონტროლის ჯამი სწორია. მან ეს დაადასტურა იმით, რომ ეკრანზე გამოსახული სტრიქონი „WELCOME“ „PATCHED“-ით ჩაანაცვლა.
მოდიფიცირებული იმიჯის Bluetooth-ით ატვირთვას დაახლოებით ათი წუთი დასჭირდა, რის შემდეგაც დინამიკი გადატვირთა და შეცვლილი ტექსტი აჩვენა. ვინაიდან დინამიკი უკვე წარმოდგენილია კომპიუტერთან როგორც USB HID მოწყობილობა ხმისა და მედიის სამართავად, მკვლევარმა დაამატა მეორე report descriptor, რომლითაც ის კლავიატურად აღიქმება, და გამოიყენა უკვე არსებული HID მონაცემების გაგზავნის რუტინა. მისი payload აჭარბებს გამოუყენებელ diagnostic ამოცანას, ელოდება დაახლოებით 20 წამს USB ქვესისტემის ჩატვირთვას, აკრეფს echo pwned-ს და აჭერს Enter-ს, კლავიშებს შორის დაახლოებით 20 მილიწამიანი შუალედით. რეალურ შეტევაში თავდამსხვერპლს შეეძლო გაეხსნა shell და ჩაესვა მავნე ბრძანება, ასევე გაეთიშა განახლების რუტინა, რათა firmware ვერ წაშალონ.
მწარმოებლის რეაქცია
მკვლევარმა პრობლემები სინგაპურის SingCERT-ს აცნობა მას შემდეგ, რაც Creative-თან დაკავშირების ორი მცდელობა მხარდაჭერის ფორმის მეშვეობით წარუმატებელი აღმოჩნდა; მისი თქმით, კომპანიას საჯარო უსაფრთხოების კონტაქტი არ აქვს. Creative-ს პასუხს თითქმის ორი თვე დასჭირდა და 3 ივნისს SingCERT-ს აცნობა, რომ ამას „არ მიიჩნევს სისუსტედ, ვინაიდან კიბერუსაფრთხოების რისკი არ წარმოადგენს“. საქმე დაიხურა და მწარმოებლის განახლება არ არსებობს — უახლესი firmware კვლავ დაუცველია.
ნაწილობრივი გადაწყვეტის სახით მან გამოუშვა ინსტრუმენტი, რომელიც ოფიციალურ firmware-ს იტვირთავს, მეხსიერებაში ცვლის CTP-ის Bluetooth-ზე დაბლოკვისთვის და USB-ით მიერთებულ Katana V2X-ზე ატვირთავს. ეს გადაწყვეტა, სავარაუდოდ, არღვევს მწარმოებლის მობილურ აპლიკაციას, ხოლო Bluetooth ჩართული რჩება ძილის რეჟიმშიც, გამორთვის აშკარა შესაძლებლობის გარეშე.
SiTech — AI-გაძლიერებული ვებ დეველოპმენტი
ვქმნით სწრაფ, თანამედროვე ვებსაიტებს და AI-ს ვაერთიანებთ ქართული ბიზნესებისთვის. გაქვთ პროექტი ან კითხვა? სიამოვნებით დაგეხმარებით.