La barra de sonido Sound Blaster Katana V2X de Creative tiene una falla de seguridad que permite hackearla vía Bluetooth a 15 metros sin necesidad de emparejamiento. Un atacante puede instalar un firmware malicioso para convertir el dispositivo en un teclado virtual y ejecutar comandos en el PC conectado. A pesar de la gravedad, la empresa afirma que no es un riesgo y no ha lanzado un parche oficial.

El investigador de seguridad Rasmus Moorats ha demostrado que la barra de sonido para gaming Sound Blaster Katana V2X de Creative puede ser secuestrada a través de Bluetooth desde aproximadamente 15 metros de distancia, sin necesidad de emparejamiento ni contacto físico, en una publicación de blog publicada el 3 de junio. Al explotar una interfaz de Bluetooth no autenticada y la ausencia de firma de firmware, un atacante puede instalar firmware personalizado en el altavoz de forma inalámbrica, convirtiendo el dispositivo conectado por USB en un teclado que escribe comandos en el PC anfitrión. Creative, contactada a través del equipo nacional de respuesta cibernética de Singapur, tardó casi dos meses en responder y concluyó que el comportamiento no representaba un riesgo de seguridad, dejando a los propietarios de la barra de sonido (de unos 280 dólares) sin un parche oficial.

La Katana V2X se comunica con la aplicación de escritorio de Creative a través de un protocolo propietario que Moorats denomina Creative Transfer Protocol (CTP). A través de USB, el altavoz requiere un saludo de desafío-respuesta antes de aceptar cualquier comando, pero a través de Bluetooth Low Energy, el mismo protocolo acepta los mismos comandos sin autenticación ni emparejamiento, por lo que cualquier dispositivo en el rango podría leer configuraciones, cambiarlas o enviar firmware. El firmware en sí no posee firma criptográfica, solo una suma de comprobación SHA-256 que Moorats recalculó después de editar la imagen.

Para convertir esto en un arma, editó el conjunto de descriptores USB del altavoz para que el dispositivo se reportara como un teclado, además de los controles multimedia limitados que ya proporcionaba. El firmware ejecutaba una versión modificada de FreeRTOS y, en lugar de escribir un código nuevo de inyección de pulsaciones de teclas, Moorats sobrescribió una tarea de diagnóstico no utilizada por una que espera a que el subsistema USB se active y luego escribe y ejecuta un comando en cada arranque. Su prueba de concepto imprimió "echo pwned", pero la misma rutina podría abrir PowerShell y pegar una línea de código maliciosa.

Reprogramar un periférico USB confiable en un teclado es así como funciona el BadUSB, técnica que Karsten Nohl y Jakob Lell presentaron en Black Hat en 2014, advirtiendo que la mayoría de los controladores USB se distribuían sin comprobaciones de autenticidad del firmware.

Esos ataques requerían que alguien conectara un dispositivo manipulado, pero Moorats logró eliminar ese paso, ya que el periférico malicioso es un hardware que la víctima ya posee y en el que confía, reescrito desde el otro lado de una habitación. Hemos visto patrones similares en otros equipos de consumo a lo largo de los años, incluyendo una cama conectada a internet cuyo firmware exponía la red doméstica del propietario y los fallos BlueBorne que daban a los atacantes el control de dispositivos Bluetooth sin emparejamiento.

Ponerse en contacto con el fabricante del altavoz, Creative, fue la parte más difícil del trabajo, escribió Moorats, porque la única forma de contactar con la empresa es a través de su formulario web de soporte. Tras dos intentos fallidos, informó a la empresa a través del Equipo de Respuesta a Emergencias Cibernéticas de Singapur (SingCERT), que a su vez tuvo dificultades para obtener una respuesta.

La respuesta final de Creative, según su relato, fue que “no consideran que esto sea una vulnerabilidad, ya que no presenta un riesgo de ciberseguridad”. Moorats terminó haciendo el trabajo de Creative, lanzando una herramienta que descarga el firmware oficial, parchea el CTP sobre Bluetooth y vuelve a flashear el altavoz por USB. Hacerlo probablemente rompe la aplicación móvil de Creative; además, Moorats señaló que añadir una autenticación adecuada es difícil sin el código fuente de la empresa. El Bluetooth del altavoz permanece encendido incluso en modo sleep, sin una forma obvia de desactivarlo.


Fuente:
TomsHardware