От Auracast к глобальной уязвимости
Немецкие пентестеры Фридер Штайнмец и Деннис Хайнц изначально изучали спецификацию Bluetooth Auracast, но их интерес сместился на реверс-инжиниринг утилиты обновления прошивки для трансмиттера MoerLab. Анализ USB-трафика через Wireshark выявил, что утилита использует протокол HID для отправки команд записи и чтения памяти. Обнаружив функцию чтения флеш-памяти (OpCode 0x0402), исследователи смогли извлекать данные из чипа напрямую, минуя любые механизмы аутентификации.
Экосистема Airoha: от Sony до клонов AirPods
Вскрытие устройств показало, что трансмиттер и многие популярные наушники работают на базе SoC от тайваньского вендора Airoha. Это решение используется в премиальных брендах (Sony, Marshall, JBL, Beyerdynamic, Teufel, Jabra) и массовых репликах AirPods. Проблема усугубилась тем, что в самих наушниках USB-порт предназначен только для зарядки, что сделало первоначальный метод дампа памяти нерабочим.
Android как ключ к разгадке: протокол RACE
Исследователи декомпилировали мобильные приложения-компаньоны для наушников на базе Android. Поскольку Java-байткод часто не обфусцирован, они быстро нашли знакомые паттерны и идентифицировали протокол обновления под названием RACE. Этот протокол является транспортно-агностическим: в трансмиттере он работал через USB HID, а в наушниках — через RFCOMM (для Bluetooth Classic) и GATT (для BLE). Отсутствие шифрования и проверки подлинности в RACE стало фатальным.
Цепочка атаки: от клонирования до WhatsApp
Уязвимость позволяет злоумышленнику в радиусе действия Bluetooth выполнить следующие действия:
- Извлечь криптографические ключи (Link Key) из памяти наушников.
- Клонировать устройство, получив полный контроль над звонками и аудио.
- Использовать микрофон наушников для прослушки окружения.
- Воспользоваться сессией для доступа к приложениям, таким как WhatsApp и Amazon, так как многие сервисы доверяют уже спаренному устройству без повторной проверки PIN-кода.
Почему это важно
Проблема носит системный характер и затрагивает миллионы устройств из-за доминирования чипов Airoha на рынке бюджетного и среднего сегмента аудио. Отсутствие безопасности на уровне OEM-интеграторов, которые копируют прошивки и протоколы без доработки защиты, создает «черный ход» в экосистему Bluetooth-аудио. Пользователям рекомендуется обновлять прошивки при выходе патчей и избегать использования публичных Bluetooth-устройств для критически важных операций.
Источник: Habr ↗