Дослідник перетворив колонку Sound Blaster Katana V2X на віддалений Rubber Ducky

Дослідник у сфері безпеки опублікував деталі вразливостей звукової панелі Creative Sound Blaster Katana V2X, які дозволяють зловмиснику в радіусі приблизно 15 метрів захопити пристрій через Bluetooth — без спарювання й без фізичного дотику — і використати його для надсилання натискань клавіш на комп'ютер, до якого підключена колонка.

Проєкт починався як спроба написати Linux-інструмент для керування колонкою через USB, а завершився кастомною прошивкою, яка робить пристрій віддалено керованим Rubber Ducky.

Через Bluetooth автентифікації немає

Настільний застосунок Creative керує колонкою через пропрієтарний набір команд, який дослідник називає CTP (Creative Transport Protocol). Через USB протокол CTP вимагає автентифікації типу «запит-відповідь» зі статичним ключем, який можна витягти з бінарників, що постачаються із застосунком Creative. Через Bluetooth цього захисту немає.

Проаналізувавши трафік мобільного застосунку виробника, він виявив, що дані спарювання записуються в одну BLE-характеристику, а читаються з іншої. Потім він підключився до колонки з ноутбука без спарювання, надіслав команду CTP для читання версії прошивки й отримав повний рядок версії. Отже, будь-який пристрій у зоні дії може надсилати колонці команди CTP.

Прошивка без підпису

Оновлення прошивки також відбувається через CTP. Контейнер містить завантажувач із режимом відновлення, основний образ прошивки та SHA-256-контрольну суму в кінці. Перевірки підпису немає: пристрій приймає змінену прошивку, якщо контрольна сума правильна. Він підтвердив це, замінивши рядок «WELCOME», який показується на дисплеї колонки, на «PATCHED».

Завантаження зміненого образу через Bluetooth тривало близько десяти хвилин, після чого колонка перезавантажилася і показала змінений текст. Оскільки панель уже представляється комп'ютеру як USB-пристрій інтерфейсу людини для керування гучністю та медіа, дослідник додав другий дескриптор, завдяки якому вона виглядає як клавіатура, і використав наявну процедуру надсилання HID-даних. Його навантаження перезаписує невикористане діагностичне завдання, чекає близько 20 секунд до завантаження USB-підсистеми, вводить echo pwned і натискає Enter із паузою близько 20 мілісекунд між натисканнями. У реальній атаці зловмисник відкрив би оболонку, вставив шкідливу команду й вимкнув процедуру оновлення, щоб прошивку неможливо було стерти.

Реакція виробника

Дослідник повідомив про проблеми сингапурському SingCERT після двох невдалих спроб зв'язатися з Creative через форму підтримки; він зазначає, що компанія не має публічного контакту з питань безпеки. Creative відповідала майже два місяці й 3 червня повідомила SingCERT, що «не вважає це вразливістю, оскільки це не становить ризику для кібербезпеки». Справу закрили, офіційного патча немає — остання прошивка залишається вразливою.

Як часткове рішення він випустив інструмент, який завантажує офіційну прошивку, патчить її в пам'яті, блокуючи CTP через Bluetooth, і завантажує на підключену по USB Katana V2X. Це виправлення, ймовірно, ламає мобільний застосунок виробника, а Bluetooth залишається увімкненим навіть у режимі сну, без очевидного способу його вимкнути.