تباع السماعة بسعر 283 دولارًا، وتحظى بشهرة واسعة مع العديد من المراجعات التي تمدح جودة الصوت وأداء السماعة وسلفها Sound Blaster V2. اكتشف الباحث Rasmus Moorats الثغرة عن طريق الصدفة بعد شراء سماعة Katana V2X، وهي بار سمعية تتصل بأجهزة الكمبيوتر الشخصية، ماك، وأجهزة لينكس عبر USB أو البلوتوث. كان موراتس يتساءل عما إذا كان يمكنه إنشاء أداة لينكس تتواصل مع سماعته. اكتشف أنه يمكنه القيام بذلك عبر بروتوكول CTP، وهو آلية خاصة يتوقع أنها اختصار لـ Creative Transport Protocol. يسمح CTP للأجهزة المتصلة عبر البلوتوث أو USB بإرسال أوامر إلى السماعة، مثل تغيير ألوان الإضاءة الداخلية أو إعداداتEqualizer. كما يسمح CTP للأجهزة المتصلة باستقبال استجابات من السماعة.
ثغرة تسمح بالاتصال دون مصادقة
تفاجأ موراتس عندما وجد أن جهازه عبر البلوتوث تمكن من الاتصال بالسماعة، التي كانت متصلة بجهاز كمبيوتر عبر USB، دون أي مصادقة. ليس هذا فحسب، بل لم يكن بحاجة إلى إجراء عملية اقتران مسبقة. المفاجأة الأكبر كانت في وجود أمر CTP يحمل عنوان "تحميل برنامج جديد للجهاز"، والذي سمح له باستبدال البرنامج الرسمي بنسخة مخصصة من اختياره. لم يستخدم إعادة تحميل البرنامج أي توقيعات رقمية أو إجراءات أخرى لمنع تحميل برامج غير رسمية. بعد نجاحه في استبدال البرنامج بنسخة بديلة لم تفعل شيئًا سوى عرض كلمة "patched" على شاشة الإضاءة الداخلية للسماعة، بدأ الباحث يتساءل عما يمكن أن يفعله المخترق بعد ذلك.
استغلال وظائف HID في نظام FreeRTOS
توجه موراتس بعد ذلك إلى نظام FreeRTOS، نظام التشغيل مفتوح المصدر الذي يعمل عليه Katana V2X. احتوى النظام على مجموعة من وظائف HID (واجهة الجهاز البشري) التي تسمح للسماعة بالعمل كجهاز واجهة، مثل لوحات المفاتيح، الفئران، والكاميرات. نفذت السماعة HID محدودة سمحت بتغيير مستوى الصوت وتشغيل أو إيقاف الصوت، لكن لم تتعد ذلك. اكتشف الباحث أنه يمكنه تغيير مجموعة الأوصاف USB الخاصة بالسماعة، وهي essentially تقرير يخبر الأجهزة بقدرات جهاز متصل عبر USB أو البلوتوث. تمكن من إضافة مجموعة وصف ثانية للإبلاغ عن كون السماعة تعمل كلوحة مفاتيح. ثم استخدم التعليمات البرمجية الموجودة بالفعل في البرنامج لتسهيل عملية إرسال ضغطات المفاتيح. كل هذا أعطى موراتس فكرة: ماذا لو استخدم جهازه لإرسال أوامر إلى السماعة تستخدم HID لنقلها إلى الكمبيوتر المتصل؟ بعد بعض التجارب والخطأ، وجد أنه يمكنه القيام بذلك.
الهجوم الكامل: من البلوتوث إلى التحكم الكامل في الكمبيوتر
في منشور له على مدونته نُشر يوم الأربعاء، كتب موراتس:
بعد تجميع كل هذه الأجزاء معًا، تمكنت من تحميل برنامج مخصص للسماعة عن بُعد تمامًا عبر الهواء، دون أن أقوم بربطها، مما أدى إلى إعادة تشغيلها، وتثبيت البرنامج المخصص، وبعد إعادة التشغيل، كتابة وتنفيذ الأمر echo pwned.
في سيناريو هجوم حقيقي، كنت سأقوم بتنفيذ ضغطات المفاتيح لفتح powershell.exe أو ما شابه، ولصق سطر أوامر خبيث حقيقي، لكن كدليل على المفهوم، كان هذا كافيًا بالنسبة لي. من المحتمل أن يقوم المهاجم الحقيقي أيضًا بتعطيل روتين تحديث البرنامج في كل من الوضع العادي ووضع الاسترداد، مما يجعل من المستحيل مسح البرنامج الخبيث من الجهاز أو إصلاحه في المستقبل. يزداد الأمر سوءًا بسبب أن البلوتوث يكون دائمًا نشطًا في السماعة، حتى في وضع السكون، مع عدم وجود طريقة واضحة لإيقافه.
استغلال ضعف المصادقة وسهولة الوصول
قبل أن تتمكن السماعة والجهاز المتصل عبر USB من التفاعل، يجب عليهما إكمال إجراء مصادقة تحدي واستجابة بنجاح. نظرًا لأن الأجهزة تقوم بهذه المصافحة تلقائيًا عند بدء تشغيل البرنامج، فهذا ليس عادةً مشكلة للمخترق. في حالات معينة، ومع ذلك، مثل عندما لا يكون تطبيق Katana V2X مفتوحًا على الجهاز المتصل، يكون ذلك شرطًا. ومع ذلك، فإن المصادقة تمثل عقبة بسيطة بما يكفي للتغلب عليها، لأن الاستجابة الصحيحة يمكن استخراجها من ملف التطبيق الثنائي الذي يأتي مع السماعة. من المفاجئ أنه لا يوجد مثل هذا الإجراء للمصادقة والتحدي للأجهزة المتصلة عبر البلوتوث.
أبلغ موراتس عن اكتشافاته إلى شركة Creative Technologies، لكنه لم يتلق أي رد. ثم تدخلت CERT سنغافورة. في النهاية، حصلت المنظمة على رد من الشركة. قالت إن مهندسي الشركة لا يعتبرون هذا السلوك ثغرة أمنية. اختبر الباحث الهجوم ضد جهاز ويندوز متصل. تجدر الإشارة إلى أن الاختراقات الموصوفة يمكن تنفيذها فقط عندما يكون المهاجم ضمن نطاق البلوتوث للسماعة. هذا شرط مهم يحد من الهجمات إلى الجيران، أو سكان نفس المنزل، أو الأشخاص في المكاتب المجاورة للسماعة. ومع ذلك، فإن القدرة على تحويل جهاز بلوتوث إلى وسيط للتحكم الكامل في الكمبيوتر وجهاز للتجسس عن بُعد لا تبعث على الارتياح.
أسئلة خطيرة حول أمان الأجهزة الأخرى
يثير هذا أيضًا سؤالًا مهمًا: ما هي الأجهزة الأخرى المتصلة عبر البلوتوث التي تعرض المستخدمين لنفس الهجمات؟
