Kostengünstige Hardware-Spionagegeräte für Verbraucher (2018)

 (ha.cking.ch)
1 Punkte von GN⁺ 2024-05-16 | 1 Kommentare | Auf WhatsApp teilen
  • Der S8 data line locator, der wie ein normales USB-Daten-/Ladekabel aussieht, ist ein Produkt, das ein GSM-Abhör- und Ortungsgerät im Stecker verbirgt, und zeigt, dass selbst günstige Consumer-Hardware eine physische Sicherheitsbedrohung sein kann
  • Das Gerät ermöglicht es, den Ton des eingebauten Mikrofons über einen Anruf mitzuhören; per SMS 1111 lässt sich ein sprachgesteuerter Rückruf aktivieren, bei dem das Gerät bei Geräuschen über etwa 40 dB anruft, und die Befehle dw und loc liefern eine Positions-SMS sowie einen gpsui.net-Link zurück
  • Die Genauigkeit der Positionsabfrage lag im Test nur bei einem Fehler von bis zu 1,57 km, und ein zentrales Risiko war, dass während der Abfrage eine mobile Datenverbindung aufgebaut wurde und Daten an einen unbekannten Server eines Dritten übertragen wurden
  • Beim Zerlegen wurden ein MediaTek MT6261MA und ein RDA 6626e identifiziert; die USB-Datenleitungen waren nur einfach durchgeschleift, und über separate DP/DM-Pads konnte auf den MediaTek-USB-Endpunkt zugegriffen werden, wodurch ROM- und Flash-Dumps möglich waren
  • gpsui.net bot Positionsverlauf, Live-Tracking, Geofencing und das Pushen von Fernbefehlen; später wurde zudem eine IDOR-Schwachstelle zur Autorisierungsumgehung gefunden, durch die Informationen aus 615.817 Konten offengelegt und verändert werden konnten

Als Kabel getarntes GSM-Abhörgerät

  • Der S8 data line locator ist ein Produkt, das ein GSM-Sende-/Empfangsgerät im Stecker eines standardmäßigen USB-Daten-/Ladekabels verbirgt
    • Unterstützte Frequenzen sind GSM 850, 900, 1800 und 1900 MHz
    • Es wird etwa mit dem Hinweis vermarktet, dass ein Dieb im Auto ein USB-Kabel kaum als Ortungsgerät erkennen würde
  • Da kein GPS vorhanden ist, ist die Positionsbestimmung grob; im Test wich sie um bis zu 1,57 km vom tatsächlichen Standort ab
  • Der Missbrauch ist einfach
    • Man ruft das Gerät an und kann den Live-Ton des eingebauten Mikrofons hören
    • Per SMS-Befehl kann das Gerät bei Geräuscherkennung einen Rückruf auslösen
    • Nach dem Einlegen und Konfigurieren einer SIM kann es ohne sichtbare Spuren wieder in die Verpackung gelegt werden

Abhören und Standortabfrage per SMS-Befehl

  • Listen in

    • Wenn man den S8 data line locator 10 Sekunden lang anruft, wird die Verbindung aufgebaut und man kann den Mikrofoneingang des Geräts hören

  • Call back

    • Die SMS 1111 aktiviert Sprachüberwachung, Sprachrückruf und die Empfindlichkeitseinstellung
    • Die Antwort hat die Form DT: Set voice monitoring, voice callback and sound sensitivity:400
    • Überschreitet der Audiopegel 40 dB, ruft das Gerät die Nummer an, von der der Befehl 1111 gesendet wurde
    • Die SMS 0000 deaktiviert den audioausgelösten Rückruf und antwortet mit DT: Voice monitoring cancelled successfully.

  • Query location

    • Laut Handbuch liefert die SMS dw den Standort zurück
    • Die Antwort enthält Adresse, einen gpsui.net-Link und den Batteriestand
    • Der gpsui.net-Link ist ohne Authentifizierung zugänglich und leitet an Google Maps weiter
    • Während der Standortabfrage nutzte das Gerät eine mobile Datenverbindung, die in den Abrechnungsdaten des Mobilfunkanbieters als „MMS/Internet“ erschien

Interner Aufbau durch Zerlegen bestätigt

  • Die Chips im Gerät sind ein MediaTek MT6261MA und ein RDA 6626e
    • Der MT6261MA ist ein Chip, der oft in günstigen chinesischen Smartwatches verwendet wird, zu dem es aber keine offiziellen Dokumente oder Informationen von MediaTek gab
    • Der RDA 6626e ist ein Quadband-Frontend-Modul für GSM850, EGSM900, DCS1800 und PCS1900
  • Der USB-A-Stecker und das Micro-B-Kabel sind nicht mit dem MT6261MA verbunden
    • Die beiden USB-Anschlüsse schleifen die Signale lediglich durch
  • Über UART wurde etwa 3 Sekunden nach dem Booten der Banner MTK Bootloader V005 ausgegeben, danach stoppte die Ausgabe und Eingaben wurden ignoriert
    • Andere Firmware-Versionen könnten AT-Modem-Befehle akzeptieren
    • Bei der Ausgabe eines alternativen Kabels erschienen ZhiPu-bezogene Logs sowie MTK6261M.T16.17.01.10 und das Build-Datum 2017/01/10 17:33
  • Die DP/DM-Pads des USB-Anschlusses sind nicht die eigentlichen USB-D+/D--Leitungen, sondern zum MT6261MA geroutet
    • Lötet man dort ein USB-Kabel an, wird das Gerät als Endpunkt ID 0e8d:0003 MediaTek Inc. MT6227 phone erkannt
    • Diese Verbindung wird als „MTK boot repair“ oder „MTK DM DP flash“ bezeichnet und zum Dumpen von ROM und Flash verwendet

Firmware-Dump und Grenzen beim Schreiben auf den Flash

  • Für den Firmware-Dump wurde das Open-Source-Forschungs-OS Fernvale verwendet
    • Es war ursprünglich für den MT6260 gedacht, aber ein auf MT6261 portierter Branch lief auch auf dem MT6261MA
    • Verwendet wurde der fernly6261-Branch von Urja „urjaman“ Rannikko
  • Der ROM-Dump erfolgte mit fernly-usb-loader und dump-rom-usb.bin, wodurch rom.bin erzeugt wurde
  • Der Flash-Dump wurde durchgeführt, nachdem der Fernvale-Patch auf flashrom angewendet worden war, über den Programmer fernvale_spi
    • Der Ziel-Flash wurde als MX25L3205(A) erkannt und das Ergebnis in flash.dat gespeichert
    • Bei einem anderen Gerät wurde ein GD25LQ32-SPI-Flash mit 4096 KB gefunden
  • Das Schreiben auf den Flash konnte mit flashrom --write flash.dat versucht werden, aber der Flash war blockgeschützt, und die Schutzbits ließen sich mit flashrom nicht deaktivieren

SIM und Netzwerkverhalten

  • Beim Mitschneiden der Kommunikation zwischen SIM und Gerät mit SIMtrace griff das Gerät auf sämtliche Datensätze des Telefonbuchs und des SMS-Speichers zu
    • Zu den abgerufenen Dateien gehörten in der ADF EF(ECC), EF(EXT2), EF(SMS), in DF(TELECOM) das DF(PHONEBOOK), EF(ADN), EF(ANRA1) und EF(SMS)
    • Einige Zugriffe waren für die Funktionen des Geräts nicht erforderlich
  • Es wurde versucht, GPRS-Verkehr mit OpenBTS und einem Ettus B100 mitzuschneiden, aber der S8 data line locator verband sich nicht mit GPRS
    • In diesem Fall lieferte der Standortbefehl dw eine alternative Antwort mit einem Link der Form gpsui.net/smap.php?lac=...&cellid=...
  • In den Abrechnungsdaten des Anbieters war bei Standortabfragen die Nutzung von „MMS/Internet“ zu sehen
    • Auch während das Gerät im Leerlauf war, wurde gelegentlich „MMS/Internet“ genutzt
    • Es bleibt möglich, dass während der Tests einige Tracking-Funktionen aktiviert wurden, aber welche Daten übertragen wurden und wie sich das abschalten lässt, konnte nicht geklärt werden

Konfigurationen und versteckte Befehle im Flash

  • Zeichenfolgen in flash.dat deuten darauf hin, dass das Gerät Nucleus RTOS ausführt
    • Die Zeichenfolge Copyright (c) 1993-2000 ATI - Nucleus PLUS - Version ARM 7/9 1.11.19 wurde gefunden
  • Das Extrahieren eines FAT12-Dateisystems ergab beschädigte Resultate, weil die Flash-Translation-Layer (FTL) fehlte
    • Es gab einige Bereiche, die wie FAT12 aussahen, aber die meisten Dateien waren verwaist oder leer
    • Beim Wechsel der SIM-Karte änderten sich die von The Sleuthkit aufgelisteten Dateien stark, weshalb auch möglich bleibt, dass es sich nicht um FAT12 oder um ein modifiziertes FAT12 handelt
  • Im Flash befanden sich die IMSI der eingelegten SIM, die für die Fernsteuerung verwendete Telefonnummer und die Zeichenfolge gpsui.net
    • Vermutet wurde, dass gpsui.net ein Server ist, der MCC-, MNC-, LAI- und CID-Codes in Adressen und Kartenlinks umsetzt, was sich wegen des fehlgeschlagenen Flash-Schreibens aber nicht verifizieren ließ
  • Bei der Suche nach dw, 1111 und 0000 wurden mehrere versteckte Befehle entdeckt
    • help gibt dw, qqq, 1111, 0000, ddd, aqb, eee, dde, hhh zurück
    • loc verhält sich wie dw
    • imsi fragt IMEI und IMSI ab
    • *3646655* fragt Versionsinformationen ab
    • *reboot* startet das Gerät neu
  • Viele Befehle funktionierten nicht korrekt, und einige verwiesen auf Funktionen wie LED oder TF-Karte, die dieses Gerät gar nicht besitzt
    • Offenbar wird die Firmware von mehreren Ortungs- und Abhörgeräten gemeinsam genutzt
    • Antwort-Strings wurden nicht im Klartext im Flash gefunden, was darauf hindeutet, dass einige Daten komprimiert sind

Zusätzliche Offenlegung durch gpsui.net

  • gpsui.net fungierte über die Rolle als einfaches Ziel für Kartenlinks hinaus eher wie ein Überwachungs-Hub
    • Unter http://gpsui.net/u/xxxx konnte man durch Ersetzen von xxxx durch Buchstaben und Zahlen den Standort beliebiger Nutzer sehen
    • Auf der Website gab es Verweise auf ZhiPu, das offenbar solche Tracker herstellt
  • Sendet man an den S8 data line monitor aqb als Text, erhält man Login-Zugangsdaten
    • Benutzername und Passwort bestehen beide aus sechs Ziffern
    • Diese Werte waren im Flash auch direkt vor der IMSI gespeichert
  • Die Weboberfläche bot umfassende Verwaltungsfunktionen für Ortungsgeräte
    • Auf der Karte werden Gerätestandort und Zeitpunkt des letzten Updates angezeigt
    • Unterstützt werden das Ändern von Einstellungen, das Konfigurieren von Alarmen, das Aktivieren von Live-Tracking, die Wiedergabe historischer Standortdaten und das Einrichten von Geofences
    • Fernbefehle können an das Gerät gepusht werden
    • Mehrere Geräte lassen sich zu einem Konto hinzufügen und gemeinsam verwalten
  • Produktverpackung und ursprüngliches Handbuch informierten Nutzer nicht darüber, dass die Website gpsui.net, Login-Zugangsdaten, ein Speicher für den Standortverlauf und die Fernsteuerung des Geräts über das Web existieren
  • Nach der Veröffentlichung entdeckte Vangelis Stykas auf gpsui.net eine IDOR-Schwachstelle zur Authentifizierungsumgehung über benutzerkontrollierte Schlüssel
    • Diese Schwachstelle führte zu horizontaler Rechteausweitung, sodass ein Nutzer Informationen aus 615.817 anderen Konten einsehen oder verändern konnte
    • Ergebnisse weiterer Untersuchungen zu GPS-Tracking-Webdiensten wurden später unter Trackmageddon zusammengefasst

Erkennungsmethoden und offene Punkte

  • Der S8 data line locator kann beim Senden von Daten mit dem günstigen RF-Detektor CC308+ erkannt werden
    • Das Gerät scheint schlecht abgeschirmt zu sein und erzeugt bei einer dw-Standortanfrage auffälliges elektronisches Rauschen
    • Insgesamt scheint es verschiedene RF-Störungen zu verursachen
  • Das ursprüngliche Ziel, die Phone-home-Funktion über mobile Daten zu deaktivieren, wurde nicht erreicht
    • Es gelang nicht, mit flashrom neue Firmware zu schreiben, und das Aufheben des Blockschutzes bleibt ein offenes Problem
    • Andere Flash-Wege wie SPFlash tool oder Flash tool könnten möglich sein, sind aber kein Open-Source-Ansatz
  • Auch das Mitschneiden der GPRS-Datenverbindung scheiterte
    • Das Gerät nutzte im OpenBTS-Netz kein GPRS
    • Ein Zugriff auf EF(ACL) war im SIM-Trace nicht zu sehen, aber da die korrekten APN-Einstellungen im Flash vorhanden waren, scheint das Gerät sie über Konfigurations-SMS des Mobilfunkanbieters zu erhalten
  • Wenn man die Geräteplatine kleiner bearbeitet, könnte daraus ein modulares Abhörgerät werden, das sich an Orten mit nur 5 V / 1 A Stromversorgung ohne USB-Stecker verstecken lässt
  • Während der OpenBTS-Tests wurde versehentlich der sprachgesteuerte Rückruf nicht deaktiviert, sodass ein Gegenüber mit der virtuellen Nummer 3333333 zwei Minuten lang das Mikrofon des Geräts mithören konnte
    • Der Anruf fiel erst später beim Prüfen der Logs auf
    • Dieses kleine Hardware-Implantat ist heimlich und gefährlich

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-05-16
Hacker-News-Kommentare

  • Der einfachere Weg wäre wohl eine modifizierte Tastatur.
    Jeder könnte einen esp32 in eine Tastatur einbauen, sie austauschen und irgendwo liegen lassen; damit ließen sich Tastatureingaben mitlesen oder per Bluetooth/WiFi darauf zugreifen.
    Die Funkübertragung ließe sich auch so konfigurieren, dass sie nur zu bestimmten Zeiten eingeschaltet wird.

    • Wenn physischer Zugriff möglich ist, ist ein Maus-Austausch üblicher.
      Auch ohne physischen Zugriff sind drahtlose Mäuse, die statt Bluetooth einen eigenen RF-Dongle verwenden, anfällig für das Einschleusen von Tastatureingaben aus der Ferne.
    • https://www.keelog.com/keygrabber-forensic/
    • Der schwierige Teil ist, sogar die durch Hautfett entstandenen Abnutzungsspuren identisch aussehen zu lassen.
      Allerdings achten die meisten darauf vielleicht gar nicht.
    • Stimmt, aber eine Tastatur zu verschenken wirkt verdächtiger als ein schlichtes, harmlos wirkendes Datenkabel.
    • Noch weiter gedacht: Man könnte esp-Langstreckenkommunikation nutzen und draußen ein solarbetriebenes Empfangsgerät platzieren, das sich mit dem Mobilfunknetz verbindet; so müsste man das interne Netzwerk nicht zusätzlich exponieren.

  • SMS als Steuerprotokoll zu verwenden, scheint keine gute Idee zu sein.
    Jedes Mal, wenn man einen Befehl sendet, hinterlässt man beim Mobilfunkanbieter Beweise, die womöglich nahezu dauerhaft gespeichert werden.

    • Das gilt unter der Annahme, dass es zur Überwachung eingesetzt wird.
      Für völlig ehrliche Zwecke könnte man damit ein gestohlenes Auto oder ein anderes Gerät mit USB-Port verfolgen.
      Wenn ich ein leicht zu stehlendes Kia- oder Hyundai-Fahrzeug gehabt hätte, hätte ich so etwas wohl heimlich im Auto platziert.
    • Das gilt generell für zentralisierte Dienste.
      Interessanterweise baue ich in meiner Freizeit etwas in diesem Bereich und habe genau aus diesem Grund LoRa gewählt.
      Natürlich gibt es viele Einschränkungen wie Payload, durch Sichtverbindung bestimmte Reichweite und fehlendes Multiplexing, aber die Reichweite aus realen Tests Ende letzten Jahres war wirklich beeindruckend.
      Mit einem handelsüblichen Entwicklungsboard lag sie etwa 20 % über der Herstellerspezifikation und erreichte 12,5 km.
    • Würde jemand, der so etwas nutzt, nicht auch ein billiges Wegwerfhandy und eine Prepaid-SIM kaufen? Beides lässt sich leicht bar kaufen, und zur Nutzung ist keine Registrierung nötig.
      In britischen Supermärkten werden sogar bereits aufgeladene SIMs verkauft.
    • SMS ist nur das Protokoll, mit dem gegenüber Käufern geworben wird; mit den nicht beworbenen Login-Daten für das Webportal kann man das Gerät auch ohne SMS verwalten.

  • Wenn man Elektronik zerlegen kann, sollte man das tun.
    Sucht man die Kennungen aller Chips mit DDG, kann man viel lernen.

    • Wie ich als Kind beim Zerlegen von Elektronik gelernt habe: Schwierig ist das Wiederzusammenbauen.
      Wenn man bei jedem Zerlegungsschritt Fotos macht, hilft das, sich zu merken, wie die Teile ineinandergreifen.
    • Zu viele Kunststoffgehäuse sind so konstruiert, dass sie nur zusammengebaut werden können; zum Zerlegen muss man sie zerstören.

  • „Jeder, der Zugriff auf die Login-Daten von gpsui.net hat, kann das Gerät steuern. Auf der Originalverpackung oder in der Anleitung wird diese Website nicht erwähnt“ ist beängstigend.

  • Ich habe über die Idee nachgedacht, dafür Augenprothesen zu verwenden.
    Heute können Kamera, Akku, Speicher und drahtlose Kommunikation alle in eine kosmetische Prothese passen und entweder eigenständig funktionieren oder per Smartphone erweitert werden.

  • Gibt es so etwas wie Abhörgeräte-Detektoren? Ich denke an die „Bug Sweeper“, die man aus Filmen kennt.

    • Ich habe das auf Discord gepostet, und ein Mitglied aus dem Security-Bereich meinte, wer sich darüber Sorgen macht, würde einen NLJD, einen Detektor für nichtlineare Übergänge, verwenden: https://reiusa.net/nljd/
      Damit lassen sich Leiterplatten erkennen.
      „Der NLJD-Antennenkopf ist ein Sendeempfänger, der ein digitales Spread-Spectrum-Signal abstrahlt, um das Vorhandensein elektronischer Bauteile festzustellen. Wenn die Energie auf Halbleiterübergänge trifft (Dioden, Transistoren, Leiterplattenverbindungen usw.), wird ein harmonisches Signal zum Empfänger zurückgesendet. Der Empfänger misst die Stärke des harmonischen Signals und unterscheidet zwischen der zweiten und dritten Harmonischen. Wenn eine stärkere zweite Harmonische auf dem Display rot angezeigt wird, bedeutet das, dass ein elektronischer Übergang erkannt wurde. Auf diese Weise wird das tragbare ORION verwendet, um Wände, Gegenstände, Behälter, Möbel und die meisten Oberflächen nach versteckter Elektronik abzusuchen, unabhängig davon, ob das elektronische Gerät eingeschaltet ist oder nicht.“
    • Im Artikel gibt es genau dazu einen Abschnitt: https://ha.cking.ch/s8_data_line_locator/#detection
    • Das wird im Abschnitt „detection“ des Artikels behandelt.
      Kurz gesagt: Während es über GSM kommuniziert, ist es leicht zu entdecken, und die Abschirmung des Geräts ist ebenfalls ziemlich schlecht, sodass im Betrieb viel RF-Interferenz entsteht, die sich gut erkennen lässt.
      Ein billiger RF-Detektor reicht aus; mit einem vollwertigen Spektrumanalysator oder SDR wird es noch einfacher.
      Wenn das Gerät jedoch im Ruhezustand auf geräuschaktivierte Auslösung oder Befehle wartet, wird es deutlich schwieriger, sodass die aus Filmen bekannte „schnelle Suche nach Abhörgeräten“ kniffliger ist, als man denkt.

  • Könnte man das Host-Gerät abschirmen und nur die GSM-Antenne auf der gewählten Frequenz durchbrennen?
    Sozusagen neue Hardware vorab sterilisieren.

    • Heutzutage stecken sogar in Kabeln viele Chips.

  • Da auf der Verpackung nicht vermerkt ist, dass es sich um ein Ortungsgerät handelt, scheint der beabsichtigte Einsatzzweck zum Beispiel ein Geschenk für ein Geschäftstreffen, ein Kind oder Verwandte zu sein.

  • Verwandte Beiträge:
    Inside a low budget consumer hardware espionage implant (2018) - https://news.ycombinator.com/item?id=20190251 - Juni 2019, 43 Kommentare
    Inside a low-budget consumer hardware espionage implant - https://news.ycombinator.com/item?id=15676737 - November 2017, 92 Kommentare

  • Falls es sie noch nicht gibt, könnten bald modifizierte Kabel mit integriertem 801.11ah auftauchen.
    Es ist eine Technologie mit niedrigen Kosten, geringem Energiebedarf und beachtlicher Reichweite, daher dürfte sie leider schwer abzuwehren sein.