Carminat TomTom LIVE: الهندسة العكسية

الهندسة العكسية لـ NavCore 9.884 المدمج في رينو (الاسم الرمزي beaumont)
تم اختباره على: Renault Laguna 3 GT Monaco GP 2012 (سيارة رائعة، بالمناسبة)

flowchart TD
    A[Carminat TomTom LIVE] --> B[Samsung S5P6440<br/>Linux 2.6.28 verrouillé]
    
    B --> C[NAND interne]
    B --> D[Carte SD externe]
    
    C --> E[Verrouillé]
    D --> F[Modifiable]
    
    E -.->|UART| G[shell root théorique ?]
    F -.->|fichiers SD| H[Personnalisations<br/>splash · menus · POI]
    
    style A fill:#5B4FBE,color:#fff
    style E fill:#A32D2D,color:#fff
    style F fill:#3B6D11,color:#fff
    style G fill:#EF9F27,color:#000
    style H fill:#1D9E75,color:#fff

جدول المحتويات

1. السياق والهدف
2. تحديد النظام
3. العتاد
4. استخراج البرنامج الثابت
5. بنية نظام الملفات
6. سلسلة الإقلاع
7. العمليات والخدمات
8. تحليل الملف التنفيذي ttn
9. مودم GPRS والاتصال
10. سطح الهجوم من بطاقة SD
11. الوصول إلى UART بصلاحيات root
12. التخصيصات بدون UART
13. الأدوات والموارد
14. استخدام الذكاء الاصطناعي في هذا المشروع
15. إخلاء المسؤولية القانونية

---

1. السياق والهدف

Carminat TomTom LIVE هو نظام الملاحة المدمج من Renault الذي يجهّز طرازات 2009-2014 (Laguna 3، Mégane 3، Scénic 3، Espace 4، Fluence، Latitude، Koleos…). ويتميّز عن Carminat TomTom غير Live بما يلي:

• برنامج ثابت مخزّن على NAND داخلي (وليس على بطاقة SD)
• مودم GPRS مدمج لخدمات الوقت الفعلي (حركة المرور، الطقس، رادارات السرعة)
• محمّل إقلاع موقّع بـ RSA ومقفل
• وفقًا لملاحظات المجتمع، فإن وحدة kernel باسم signedloop تتحقق من سلامة rootfs عبر شجرة Merkle (غير مؤكّد في هذا التحليل، انظر §3)

يوثّق هذا المستودع تحليلًا للبرنامج الثابت NavCore 9.884 beaumont، بما في ذلك رسم خريطة نظام الملفات، والتحليل الساكن للملف التنفيذي NavCore، والتحليل أثناء التشغيل عبر QEMU/strace.

المنهجية المستخدمة:

• تحديد النظام عبر بطاقة SD المستخرجة من المركبة (قراءة الملفات ttgo.bif وloopdir/ext3_loopback)
• استرداد البرنامج الثابت عبر CDN الرسمي لـ TomTom (انظر قسم استخراج البرنامج الثابت)
• التحليل الساكن لـ rootfs المستخرج من CAB
• إعداد محاكي QEMU يعيد إنتاج بيئة ARM/Linux الخاصة بالجهاز لتمكين التحليل الديناميكي للملف التنفيذي ttn (تتبّع استدعاءات النظام عبر strace، ومراقبة الملفات المفتوحة، والسلوك أثناء التشغيل)

لم يتم إجراء أي تعديل على وحدة الجهاز الفعلية في المركبة. أُجريت جميع التحليلات على نسخ من ملفات بطاقة SD والبرنامج الثابت المُنزَّل.

أُنجز كل العمل الموثّق هنا انطلاقًا من بطاقة SD شخصية (استُخرجت من المركبة للتحليل) ومن البرنامج الثابت الرسمي المُنزَّل من CDN الخاص بـ TomTom.

📌 وثيقة قابلة للتطوير: يمثّل هذا التقرير الحالة الراهنة للمعارف المستخلصة من هذا التحليل. وقد يُحسَّن أو يُصحَّح أو يُثرى مع الاكتشافات المستقبلية، ومساهمات المجتمع، والتحققات التجريبية على العتاد الحقيقي. المساهمات والتصحيحات والملاحظات مرحّب بها.

---

2. تحديد النظام

الحقل	القيمة
DeviceName	TomTom Carminat LIVE
الاسم الرمزي للعتاد	beaumont (rev 11)
إصدار NavCore	9.884، بناء 9.884.1609031
الإصدار الرسمي	NFA2.8-RC06، مُجمَّع في 27/06/2014 في Dieppe
نواة Linux	2.6.28.10-tt1574740
Toolchain	gcc 4.3.3 TomTom CipherWizardry 2009q1_203-474426
Libc	uClibc
نظام Init	Upstart (عبر سكربت shell ‏/sbin/init ← exec /sbin/upstart)

تأتي هذه المعلومات من ttgo.bif المستخرج من صورة loopdir/ext3_loopback الخاصة ببطاقة SD، ومن الملف TomTom-Cfg/release.nfo.

# Extrait ttgo.bif
[TomTomGo]
DeviceName=TomTom Carminat LIVE
DeviceVersionHW=beaumont
ApplicationVersionVersionNumber=9884
ApplicationVersion=1609031.550
RamDiskVersion=20140626
BootLoaderVersion=839378
LinuxVersion=1574740

3. العتاد

المكوّن	التعريف
SoC	Samsung S5P6440 (مؤكَّد عبر /etc/udev/rules.d/20_local-s5p6440.rules)
CPU	ARM1176JZF-S · ARMv6 · little-endian · EABI
RAM	غير محدَّدة عبر التحليل الساكن
التخزين الداخلي	NAND flash · eMMC (/dev/mmcblk0)
بطاقة SD للمستخدم	/dev/mmcblk1 (فتحة متاحة)
الشاشة	LCD Samsung LTA058B3L0F (وفق DTB) · 480×272
Framebuffer	/dev/fb0 · RGB16/24
GPS	SiRF3 PRIMA · /dev/ttySAC2
مودم GSM/GPRS	Wavecom WISMO218 · /dev/ttyS0
موالف RDS-TMC	BCM4750 · bcm4750_spi
Bluetooth	مدمج · hci_uart · HFP + PBAP فقط (بدون A2DP)
شاشة اللمس	libts · /dev/input/event0

وحدات النواة المحمَّلة (مقتطفات من /etc/modules)

unionfs · ppp_async · ppp_generic · slhc · hidp · hid · rfcomm
sco · hci_uart · l2cap · bluetooth · bcm4750_spi · vfat · msdos
fat · evdev

⚠️ تُفيد تقارير المجتمع (gpspower.net) بأن الوحدة signedloop تتحقق من سلامة rootfs.img. لم يُلاحَظ ذلك في rootfs المستخرج (لا في /etc/modules ولا في /lib/modules/2.6.28.10-tt1574740/). يحتاج إلى تأكيد.

---

4. استخراج البرنامج الثابت

4.1 تنزيل ملف CAB الرسمي

يمكن تنزيل البرنامج الثابت دون مصادقة من شبكة CDN Akamai الخاصة بـ TomTom:

curl -A "TomTom HOME/2.24.11.8" -O \
  "http://download.tomtom.com/sweet/navcore/9.884.1609031_RC06.CAB-Dieppe.cab"

# SHA256 de référence
a4d32daae2cdd6bc23a0660285c4e32e3a098034731eb257172ed7aaef9052d5

إصدارات أخرى متاحة (تم اختبارها HTTP 200):

الإصدار	URL
9.844	http://download.tomtom.com/sweet/navcore/9844.634510.Carminat_TomTom.cab
9.845 RC10	http://download.tomtom.com/sweet/navcore/9.845_1115399_RC10.CAB-Camiron-RC10.cab
9.846 RC12	http://download.tomtom.com/sweet/navcore/9.846_1165624_RC12.CAB-Camiron-RC12.cab
9.847 RC14	http://download.tomtom.com/sweet/navcore/9.847.1302316_RC14.CAB-Camiron-RC14.cab
9.884 RC06	http://download.tomtom.com/sweet/navcore/9.884.1609031_RC06.CAB-Dieppe.cab

4.2 استخراج ملف CAB

brew install cabextract  # macOS
mkdir extracted && cabextract 9.884.1609031_RC06.CAB-Dieppe.cab -d extracted/
ls extracted/
# → splashw.bmp  ttsystem  TomTom-Cfg/release.nfo

ttsystem هو صورة ext2 (وليس TTBL)، على عكس الإصدارات غير الحية.

4.3 استخراج rootfs الكامل

cd extracted/
mkdir rootfs && 7z x ttsystem -o rootfs/

# Le rootfs réel est dans userfs_partition.tar.gz
cd rootfs/
tar xzf userfs_partition.tar.gz

# Contenu :
# _zImage       → Linux kernel ARM zImage
# rootfs.img    → filesystem Linux complet (ext2, 67 MB)
# WISMO218_*.cla → firmwares modem

mkdir rootfs_mnt
# Sur Linux :
sudo mount -o loop rootfs.img rootfs_mnt/
# Sur macOS (lecture seule) :
7z x rootfs.img -o rootfs_mnt/

4.4 بنية البرنامج الثابت المستخرج