WPair

Escáner y herramienta de investigación de vulnerabilidades CVE-2025-36911 (p. ej., WhisperPair)

Características • Instalación • Uso • Cómo funciona • Vulnerabilidad • Créditos

Descargo de responsabilidad

Esta aplicación es una implementación independiente creada por @ZalexDev a título personal. Los investigadores originales de KU Leuven descubrieron y divulgaron la vulnerabilidad, pero no han publicado ningún código y no están afiliados a este proyecto. Su inclusión en los créditos es únicamente para reconocer su contribución a la investigación.

Resumen

WPair es una herramienta defensiva de investigación de seguridad que demuestra la vulnerabilidad CVE-2025-36911 en el protocolo Fast Pair de Google. Esta vulnerabilidad afecta a millones de dispositivos de audio Bluetooth en todo el mundo, permitiendo el emparejamiento no autorizado y el posible acceso al micrófono sin el consentimiento del usuario.

Propósito: Ayudar a investigadores de seguridad, fabricantes de dispositivos y usuarios finales a identificar dispositivos vulnerables que necesitan actualizaciones de firmware.

Características

Capturas de pantalla

Nota sobre el rastreo de Find Hub Network (FMDN)

Esta herramienta no incluye deliberadamente la funcionalidad de aprovisionamiento de FMDN. Aunque la cadena de vulnerabilidades técnicamente permite inscribir dispositivos comprometidos en la red Find Hub de Google para el rastreo persistente de ubicación, he decidido no implementar esta capacidad. Convertir los auriculares de alguien en una baliza de rastreo encubierta cruza una clara línea ética que lleva de la investigación de seguridad al territorio del stalkerware. Las demostraciones de escritura de Account Key y de acceso al audio son suficientes para probar la gravedad de la vulnerabilidad.

Instalación

Requisitos

• Android 8.0 (API 26) o superior
• Soporte de Bluetooth LE
• Permiso de ubicación (requerido para el escaneo BLE en Android) / Dispositivos cercanos (Android 13+)

Descarga

1. Ve a Releases
2. Descarga el último WPair-vX.X.X.apk
3. Habilita "Instalar desde fuentes desconocidas" si se te solicita
4. Instala y concede los permisos necesarios

Compilar desde el código fuente

git clone https://github.com/zalexdev/whisper-pair-app.git
cd whisper-pair-app
./gradlew assembleDebug

Uso

1. Escanear dispositivos

Toca Scan para descubrir dispositivos Fast Pair cercanos. Los dispositivos en modo de emparejamiento mostrarán una insignia "Pairing".

2. Probar vulnerabilidad

Para dispositivos que no estén en modo de emparejamiento, toca Test para comprobar si son vulnerables. Esto no es invasivo y no empareja el dispositivo.

3. Explotar (solo pruebas autorizadas)

Para dispositivos vulnerables, toca Magic para demostrar la cadena de explotación completa:

• Omisión del emparejamiento basado en clave (Key-Based Pairing)
• Extracción de la dirección BR/EDR
• Vinculación Bluetooth Classic
• Persistencia de la Account Key

4. Acceso de audio

Tras un emparejamiento correcto:

1. Toca Connect Audio (HFP) para establecer el perfil manos libres (HFP)
2. Usa Live para escuchar en tiempo real a través del altavoz del teléfono
3. Usa Record para guardar el audio como archivo M4A

Cómo funciona

sequenceDiagram
    participant App as WPair
    participant Target as Vulnerable Device
    participant BT as Android Bluetooth

    App->>Target: BLE Scan (0xFE2C service)
    Target-->>App: Fast Pair Advertisement

    Note over App: Vulnerability Test
    App->>Target: GATT Connect
    App->>Target: Read Model ID
    App->>Target: Write Key-Based Pairing (no signature)
    Target-->>App: Response (Vulnerable if accepted)

    Note over App: Exploitation
    App->>Target: Key-Based Pairing Request
    Target-->>App: Encrypted Response + BR/EDR Address
    App->>BT: createBond(BR/EDR Address)
    BT->>Target: Bluetooth Classic Pairing
    Target-->>BT: Pairing Complete

    Note over App: Audio Access
    App->>BT: Connect HFP Profile
    BT->>Target: HFP Connection
    App->>BT: Start SCO Audio
    Target-->>App: Microphone Stream

Flujo del ataque

flowchart LR
    A[Scan] --> B{Fast Pair<br>Device?}
    B -->|Yes| C[Test Vulnerability]
    B -->|No| A
    C --> D{Vulnerable?}
    D -->|Yes| E[Exploit]
    D -->|No| F[Patched ✓]
    E --> G[Pair Device]
    G --> H[Connect HFP]
    H --> I[Access Microphone]

Vulnerabilidad

CVE-2025-36911: Omisión de autenticación del emparejamiento basado en clave de Fast Pair (también conocida como WhisperPair)

Severidad: Alta Puntuación CVSS: 8.1 Afectados: Implementaciones del protocolo Fast Pair de Google

Detalles técnicos

El protocolo Fast Pair utiliza el emparejamiento basado en clave (Key-Based Pairing) para autenticar las solicitudes de emparejamiento. La vulnerabilidad existe porque:

1. Falta de verificación de firma: Muchos dispositivos aceptan solicitudes de emparejamiento basado en clave sin validar la firma criptográfica
2. Sin confirmación del usuario: El protocolo no requiere el consentimiento explícito del usuario para el emparejamiento
3. Acceso persistente: Los atacantes pueden escribir Account Keys para rastrear el dispositivo de forma permanente

Impacto

• Emparejamiento no autorizado: El atacante se empareja con los auriculares de la víctima sin su consentimiento
• Acceso al micrófono: Acceso completo al micrófono del dispositivo mediante el perfil HFP
• Rastreo de ubicación: Rastreo persistente mediante la publicidad de la Account Key

Dispositivos afectados

Los principales fabricantes afectados incluyen:

• JBL
• Harman Kardon
• Sony (ciertos modelos)
• Marshall
• Y muchos más...

Estructura del proyecto

WhisperPair/
├── app/src/main/java/com/zalexdev/whisperpair/
│   ├── MainActivity.kt          # UI and navigation
│   ├── Scanner.kt                # BLE Fast Pair scanner
│   ├── FastPairDevice.kt         # Device data model
│   ├── VulnerabilityTester.kt    # Non-invasive vuln check
│   ├── FastPairExploit.kt        # PoC exploit implementation
│   └── BluetoothAudioManager.kt  # HFP audio handling
├── app/src/main/res/
│   └── ...                       # UI resources
└── README.md

Créditos

Desarrollador de la aplicación

@ZalexDev

Equipo de investigación original

KU Leuven, Bélgica

* Autores principales

Financiación de la investigación original: Programa de Investigación en Ciberseguridad del Gobierno Flamenco (VOEWICS02)

Recursos

• Artículo de investigación de WhisperPair
• Vídeo de demostración
• Grupo de investigación COSIC

Cobertura mediática

• WIRED
• 9to5Google

Aviso legal

Esta herramienta se proporciona únicamente con fines de investigación de seguridad autorizada y educación.

• Solo prueba dispositivos que sean tuyos o sobre los que tengas permiso explícito por escrito para probar
• El acceso no autorizado a sistemas informáticos es ilegal en la mayoría de las jurisdicciones
• Los desarrolladores no son responsables del mal uso de esta herramienta
• Esta herramienta está pensada para ayudar a identificar dispositivos vulnerables para su corrección

Al utilizar este software, aceptas usarlo de forma responsable y en cumplimiento de todas las leyes aplicables.

Ver también

Apoyar el desarrollo

Si WhisperPair te resulta útil para tu investigación de seguridad:

Donaciones en criptomonedas:

TRC20 (USDT): TXVt15poW3yTBb7zSdaBRuyFsGCpFyg8CU

Licencia

Este proyecto está licenciado bajo la Licencia Apache 2.0; consulta el archivo LICENSE para más detalles.

_{Hecho con ❤️ para la comunidad de investigación de seguridad}