Hijacking Paired BLE Devices

Todos hemos oído hablar de Bluetooth, y de hecho es una tecnología que forma parte de nuestro día a día sin que nos demos cuenta. Lo que muchas veces pasa desapercibido es el hecho de que cuando hablamos de Bluetooth quizás estamos hablando en algunas ocasiones de Bluetooth Low Energy (BLE).

Hijacking Paired BLE Devices

BLE nace con la idea de poder utilizar esta misma tecnología con un consumo mucho menor de energía, lo cual permite poder utilizarlo en miles de dispositivos cómo herramienta de envío de datos, algo que nos puede facilitar, y mucho, el día a día.

Pero claro, sabemos que comodidad y facilidades en ocasiones puede estar reñido con la seguridad, de hecho, a día de hoy, ya se han encontrado múltiples posibles vulnerabilidades a esta tecnología de radio y frente a las que se está buscando solución poco a poco:

• Sniffing Pasivo
• BIAS y BLESA
• Ataques de Firmware
• Blurtooth

Además, estas vulnerabilidades pueden afectar también al entorno empresarial, donde cada vez es más común el uso de tecnología que utilice el Bluetooth cómo herramienta de envío de información, ya sea a nivel industrial, cómo un termómetro en una central de uranio, o un simple teclado inalámbrico utilizado por un empleado de la compañía.

Es cierto que estos ataques requieren de cierta cercanía con el dispositivo para poder ser llevados a cabo y generalmente se habla de estar presente durante el proceso de emparejamiento, con el fin de obtener información que permite gran parte de estos ataques. Con esto en mente nos hicimos una pregunta:

¿Existe la posibilidad de robar los tokens e información de un dispositivo BLE pareado a un equipo controlado?

¿Qué posibilidad hay de utilizar estos tokens para robar información o el control de los dispositivos BLE?

Manos a la obra

Con esto en mente nos pusimos nuestras mejores galas de investigación y fuimos a por ello, el proceso paso por paso está explicado en nuestro proyecto de fin de máster, pero para hacernos una idea tuvimos que seguir varios pasos:

• Investigar el protocolo
• Estudiar el registro de Windows
• Estudiar la forma en que se almacena cierta información
• Pruebas, pruebas y más pruebas

Es cierto, fue una carrera de fondo, pero tuvo su recompensa ya que tras las múltiples pruebas y el esfuerzo pudimos llegar a ciertas conclusiones.

La primera de ellas la importancia de la obtención de la Long Term Key (LTK), la cual podría permitir descifrar conexiones con el acceso adecuado, podéis echar un vistazo a la PoC en https://github.com/barricadadigital/Obtencion-informacion-BLE 

La segunda y que más nos llamó la atención fue la posibilidad de suplantar completamente a un dispositivo, este caso para nuestra prueba de concepto utilizamos un ratón BLE de la siguiente forma:

• Emparejamiento del ratón en un ordenador con SO Windows
• Obtención de LTK, Erand y Ediv
• Creación de los directorios necesarios en un ordenador con SO Linux
  • Directorio con la MAC suplantada del controlador Bluetooth de Windows
  • Directorio con la MAC del ratón
  • Fichero con la información de la LTK, Erand y Ediv
• Tenemos el control del ratón desde Linux

La posibilidad de tomar este control implica que, dependiendo la situación y el dispositivo, pudiese hacerse con el control de cierta información que envía, suplantarlo, obtener otra información, etc.

Podéis obtener más información en GitHub – Casta085/Bluetooth-Low-Energy-Impersonation o a través del TFM dónde viene explicado el proceso de investigación parte por parte.

En definitiva

Aunque la posibilidad de recibir estos ataques es más baja que otros vectores pueden ser cruciales, por lo que el riesgo de recibir un ataque de estas características es muy alto.

Además, teniendo en cuenta que cada vez esta tecnología es más frecuente, y puede encontrarse en dispositivos que ni siquiera se plantean durante un correcto bastionado de la empresa, hace que pueda pasar desapercibido el peligro.

Si quieres ver el proyecto completo de Miguel y Alejandro, rellena el formulario y te lo mandamos a tu correo electrónico.

¿Quieres obtener el mismo conocimiento que Miguel y Alejandro?