bin4ry/unipwnFramework di exploit BLE per robot Unitree: l'iniezione di comandi tramite chiavi AES hardcoded consente l'acquisizione remota del controllo, l'iniezione di payload e la propagazione wormabile.
Autore: Bin4ry aka Andreas Makris [[email protected]]
Coautore: h0stile aka Kevin Finisterre
Contributore: legion1581 aka Konstantin Severov di theroboverse ha contribuito a correggere il payload per l'iniezione e lo ha dimostrato con un PoC completamente funzionante 🙂 grazie amico, è stato un contributo fondamentale, davvero molto apprezzato!
Data: 20 settembre 2025
CVE-2025-35027
CVE-2025-60017
CVE-2025-60250
CVE-2025-60251
La ricerca di questo repository è incorporata in un paper che presenta una valutazione sistematica della sicurezza dell'Unitree G1. L'impatto della ricerca non è però limitato al solo G1, bensì all'intera linea di prodotti Unitree a partire dalla serie Go2. Il codice dei robot Unitree più recenti sembra essere un fork del codebase Go2, il che rende specificamente non vulnerabili la linea Go1 e gli altri robot Unitree precedenti al Go2. Tutte le varianti moderne sono comunque attualmente interessate. Unitree non ha ancora rilasciato un advisory che chiarisca l'impatto esatto sull'intera linea di prodotti.
Link al Paper: https://arxiv.org/abs/2509.14139
Titolo: Cybersecurity AI: Humanoid Robots as Attack Vectors
Autori: Víctor Mayoral-Vilches, Andreas Makris, Kevin Finisterre```bibtex
@misc{mayoralvilches2025cybersecurityaihumanoidrobots,
title={Cybersecurity AI: Humanoid Robots as Attack Vectors},
author={Víctor Mayoral-Vilches and Andreas Makris and Kevin Finisterre},
year={2025},
eprint={2509.14139},
archivePrefix={arXiv},
primaryClass={cs.CR},
url={https://arxiv.org/abs/2509.14139},
}
Table of Contents
=================
* [Analisi dell'iniezione di comandi nel servizio BLE dei robot Unitree](#unitree-robot-ble-service-command-injection-analysis)
* [Panoramica](#overview)
* [Scoperta dei servizi BLE](#ble-service-discovery)
* [Reverse engineering del protocollo](#reverse-engineering-the-protocol)
* [Istruzione 1: L'handshake "sicuro"](#instruction-1-the-secure-handshake)
* [Istruzione 2: Ottieni il numero di serie](#instruction-2-get-serial-number)
* [Istruzione 3: Inizializza la modalità WiFi](#instruction-3-initialize-wifi-mode)
* [Istruzione 4: Imposta SSID](#instruction-4-set-ssid)
* [Istruzione 5: Imposta la password](#instruction-5-set-password)
* [Istruzione 6: Imposta il codice paese (Il fattore scatenante!)](#instruction-6-set-country-code-the-trigger)
* [Il thread di impostazione WiFi](#the-wifi-setting-thread)
* [La funzione vulnerabile: iniezione di comandi](#the-vulnerable-function-command-injection)
* [Riepilogo del flusso di attacco](#attack-flow-summary)
* [La minaccia wormabile](#the-wormable-threat)
* [Prova di concetto](#proof-of-concept)
* [Implementazione reale & impatto](#real-world-deployment--impact)
* [Implementazioni attuali](#current-deployments)
* [Valutazione dell'impatto](#impact-assessment)
* [Impatto su forze dell'ordine & militari](#law-enforcement--military-impact)
* [Ambienti aziendali](#corporate-environments)
* [Impatto sui consumatori](#consumer-impact)
* [Propagazione wormabile](#wormable-propagation)
* [Dettagli tecnici](#technical-details)
* [Architettura del servizio BLE](#ble-service-architecture)
* [Parametri crittografici](#cryptographic-parameters)
* [Struttura dei pacchetti](#packet-structure)
* [Lezioni apprese](#lessons-learned)
* [Cronologia della divulgazione](#disclosure-timeline)
* [Primo e ultimo tentativo di segnalare un altro problema di sicurezza nei vostri robot di punta G1, Go2 e altri bot](#first-and-last-attempt-to-report-another-security-issue-in-your-flagship-g1-and-go2-and-other-bots)
* [Avvertenza](#disclaimer)
* [Un modello ricorrente di problemi di sicurezza](#a-pattern-of-security-issues)
* [Conclusione](#conclusion)
* [Avviso legale](#legal-notice)
* [Contribuire](#contributing)
* [Licenza e accesso a questi file](#licensing-and-access-to-these-files)
---
## Panoramica
Durante la nostra ricerca sulla sicurezza delle piattaforme robotiche Unitree, abbiamo scoperto una vulnerabilità critica nell'interfaccia di configurazione Wi-Fi Bluetooth Low Energy (BLE). Questa vulnerabilità colpisce diversi modelli di robot Unitree, tra cui i robot delle serie Go2, G1, H1 e B2, fino al firmware più recente di oggi [20 settembre 2025].
**🎯 Questa rappresenta il primo exploit divulgato pubblicamente che prende di mira robot umanoidi!**
La vulnerabilità combina molteplici problemi di sicurezza: chiavi crittografiche hardcoded, bypass banale dell'autenticazione e iniezione di comandi non sanificata. Ciò che rende tutto particolarmente preoccupante è che è completamente **wormabile**: i robot infetti possono compromettere automaticamente altri robot nel raggio BLE. Questa vulnerabilità consente all'attaccante di assumere completamente il controllo del dispositivo.
Abbiamo pubblicato le chiavi crittografiche a luglio [Link al Tweet](https://x.com/Bin4ryDigit/status/1950566849072005304) ma a Unitree non è importato.
Analizziamo i dettagli tecnici di come abbiamo scoperto e sfruttato questa vulnerabilità.
## Scoperta dei servizi BLE
Il primo passo è stato identificare i servizi BLE esposti dai robot. Tutti i modelli Unitree interessati espongono un servizio BLE personalizzato per la configurazione Wi-Fi:```
Service UUID: 0000ffe0-0000-1000-8000-00805f9b34fb
Write Characteristic: 0000ffe2-0000-1000-8000-00805f9b34fb
Notify Characteristic: 0000ffe1-0000-1000-8000-00805f9b34fb
Attraverso il reverse engineering, abbiamo scoperto che il robot implementa un receive manager che elabora i pacchetti BLE crittografati. Ecco cosa abbiamo trovato:
Il receive manager decripta prima i pacchetti in arrivo utilizzando parametri AES hardcoded:```python AES_KEY = "df98b715d5c6ed2b25817b6f2554124a" AES_IV = "2841ae97419c2973296a0d4bdfe19a4f" Mode: AES-CFB128
Dopo la decrittazione, i pacchetti vengono elaborati in base ai codici di istruzione in una struttura switch-case. Esaminiamo ogni istruzione:
## Istruzione 1: L'handshake "sicuro"
L'handshake di "autenticazione" è ridicolmente semplice:
In pratica, il robot controlla che il pacchetto decrittato includa la stringa `"unitree"` come segreto dell'handshake, quindi imposta il flag `valid_incoming_user` a 1. Questo è l'intero meccanismo di "autenticazione"!
## Istruzione 2: Ottieni il numero di serie
Questa istruzione verifica se l'utente è "autenticato" (cioè se il flag è impostato), quindi legge il file del numero di serie e lo restituisce. Questo conferma che abbiamo accesso al sistema.
## Istruzione 3: Inizializza la modalità WiFi
Questa istruzione inizializza le impostazioni WiFi. Gli utenti possono scegliere tra modalità AP (subcomando = 1) o modalità STA (subcomando = 2):
## Istruzione 4: Imposta SSID
Questa istruzione memorizza l'SSID WiFi. Ecco il nostro primo punto di iniezione:
## Istruzione 5: Imposta la password
Simile al comando SSID, questa memorizza la password WiFi. Un altro punto di iniezione:
## Istruzione 6: Imposta il codice paese (Il trigger!)
Questa istruzione imposta il codice paese WiFi e, cosa fondamentale, attiva la `WifiSettingThreadFunction`:
Quando viene eseguita l'istruzione 6, viene avviato il thread di configurazione WiFi, che ci conduce alle funzioni vulnerabili.
## Il thread di configurazione WiFi
Il thread di configurazione WiFi chiama `restart_wifi_ap` o `restart_wifi_sta` a seconda della modalità:
## La funzione vulnerabile: iniezione di comandi
Sia la funzione `restart_wifi_ap` (`hostapd_restart.sh`) che `restart_wifi_sta` (`wpa_supplicant_restart.sh`) seguono lo stesso schema vulnerabile.
Ecco la prova schiacciante (usando la funzione `restart_wifi_ap` come esempio):
La funzione costruisce questo comando:```bash
sudo sh /unitree/module/network_manager/upper_bluetooth/hostapd_restart.sh "wifi_ssid wifi_pass"
Questo comando viene poi passato direttamente a system() senza alcuna validazione o sanificazione dell'input!
Se controlliamo wifi_ssid o wifi_pass, possiamo iniettare i nostri comandi. Un payload semplice come:```bash
";$(reboot -f);#
Sarebbe sufficiente riavviare il robot. Ma possiamo fare molto di più...
## Riepilogo del flusso di attacco
Ecco la sequenza completa dell'attacco che dobbiamo eseguire:
1. Invia il payload crittografato AES "unitree" come dati per l'istruzione 1
2. Invia il comando get_sn e decripta la risposta per verificare l'accesso
3. Invia init_wifi con il sottocomando 1 (AP) o 2 (STA)
4. Imposta wifi_ssid al nostro payload di iniezione come `";$(reboot -f);#`
5. Imposta wifi_pass a un valore arbitrario
6. Imposta il country code WiFi per attivare il thread vulnerabile
Se tutto funziona, il robot dovrebbe eseguire il nostro comando iniettato con privilegi di root.
## La minaccia wormable
Ciò che rende questa vulnerabilità particolarmente pericolosa è la sua natura **wormable**. Con questo metodo possiamo:
- Eseguire comandi arbitrari con privilegi di root
- Trasferire ed eseguire malware tramite iniezione di payload
- Costringere i robot a connettersi a reti WiFi controllate dall'attaccante
- Creare malware robotico auto-propagante che infetta i robot vicini
Un robot infetto può semplicemente cercare altri robot Unitree nel raggio BLE e comprometterli automaticamente, creando una botnet robotica che si diffonde senza intervento dell'utente.
## Prova di concetto
Abbiamo sviluppato un framework di exploit proof-of-concept completo che dimostra questa vulnerabilità. L'exploit include:
- Scanner BLE e framework di exploit basato su Python
- APK Android (condiviso in precedenza il 5 settembre 2025 nel canale Slack ai tester tramite zip protetto da password)
- Molteplici payload predefiniti (abilitazione SSH, riavvio di sistema, comandi personalizzati)
- Supporto per tutti i modelli di robot interessati (Go2, G1, H1, B2, ...)
Componenti chiave del nostro exploit funzionante:```python
AES_KEY = bytes.fromhex("df98b715d5c6ed2b25817b6f2554124a")
AES_IV = bytes.fromhex("2841ae97419c2973296a0d4bdfe19a4f")
HANDSHAKE_CONTENT = "unitree"
def build_pwn(cmd):
return f'";$({cmd});#'
I robot Unitree sono già impiegati in scenari critici del mondo reale, rendendo questa vulnerabilità particolarmente preoccupante:
Forze dell'Ordine: La polizia del Nottinghamshire sta attualmente sperimentando i robot Unitree per scenari di risposta armata, tra cui:
Operazioni Militari: I robot Unitree sono utilizzati dall'EPL della Cina per applicazioni militari, sollevando significative implicazioni di sicurezza per le operazioni di difesa.
Le implicazioni di questa vulnerabilità sono piuttosto serie:
0000ffe0-0000-1000-8000-00805f9b34fb0000ffe2-0000-1000-8000-00805f9b34fb0000ffe1-0000-1000-8000-00805f9b34fbdf98b715d5c6ed2b25817b6f2554124a (hardcoded, uguale su tutti i dispositivi)2841ae97419c2973296a0d4bdfe19a4f (hardcoded, uguale su tutti i dispositivi)Encrypted([0x52, length, instruction, data, checksum])
## Lezioni Apprese
Questa ricerca evidenzia diversi principi di sicurezza fondamentali:
- **Non usare mai chiavi hardcoded:** Ogni dispositivo dovrebbe disporre di materiale crittografico unico
- **Difesa in profondità:** Molteplici strati di sicurezza prevengono punti di errore singoli
- **Validazione degli input:** Sanificare sempre gli input utente, specialmente prima delle chiamate di sistema
- **Test di sicurezza:** Test di penetrazione regolari possono individuare questi problemi in anticipo
## Cronologia della divulgazione
Abbiamo inizialmente tentato una divulgazione responsabile con Unitree riguardo a questa vulnerabilità:
- **Bug trovato:** Il bug è stato trovato il 14 aprile 2025 da Andreas Makris (Bin4ry) e discusso in un DM Slack con Kevin Finisterre (h0stile) e Konstantin Severov (legion1581).
- **PoC sviluppato:** Il 25 aprile 2025 Konstantin Severov è riuscito a correggere il payload errato di Andreas e a creare un payload funzionante e corretto per l'iniezione. È nato il primo PoC.
- **BLE insicuro trovato**: Dopo che Konstantin ha verificato la vulnerabilità di iniezione, Andreas ha trovato le chiavi hardcoded e la debole autenticazione per il BLE.
- **Contatto iniziale:** Sono state inviate numerose email ai canali di sicurezza e supporto di Unitree
- **Problemi di comunicazione:** Uno degli autori (Andreas Makris) è stato ripetutamente rimosso dalle conversazioni email senza spiegazioni
- **Nessuna risposta:** Unitree non ha mostrato alcun impegno o interesse significativo nell'affrontare i problemi di sicurezza
- **Esito:** Non è stato fornito alcun riconoscimento né una tempistica di risoluzione
Data la mancanza di risposta di Unitree e il suo apparente disinteresse per i problemi di sicurezza, **Andreas Makris ha deciso di interrompere i tentativi di divulgazione privata con Unitree per le vulnerabilità future**. Qualsiasi ulteriore problema di sicurezza scoperto sarà divulgato pubblicamente senza previa notifica al fornitore.
Questa decisione riflette la dimostrata riluttanza di Unitree a confrontarsi in modo costruttivo sulle questioni di sicurezza, particolarmente preoccupante considerando il loro impiego in contesti di polizia e militari.
### Primo e ultimo tentativo di segnalare un altro problema di sicurezza nei vostri robot ammiraglia G1, Go2 e altri
(Avviato da Kevin Finisterre)
- **14 maggio 2025** — Tentativo di contatto per la divulgazione effettuato tramite [LinkedIn](https://www.linkedin.com/posts/kevin-finisterre-6431069a_fyi-unitree-robotics-is-being-given-an-opportunity-activity-7328446278852407296-qZB4) e [GitHub issue #126](https://github.com/unitreerobotics/unitree_ros/issues/126) nonostante Unitree abbia ignorato per anni altri tentativi di segnalazione *da parte nostra* e dei nostri colleghi di ricerca.
-
Email dal titolo *"Primo e ultimo tentativo di segnalare un altro problema di sicurezza nei vostri robot ammiraglia G1, Go2 e altri"* inviata a:
Tony Yang <[email protected]>, <[email protected]>, <[email protected]>, Laikago <[email protected]>, <[email protected]>, <[email protected]>, <[email protected]>, Xing <[email protected]>, XMath <[email protected]>, <[email protected]>, <[email protected]>, <[email protected]>, <[email protected]>
- Unitree ha subito accennato a un potenziale programma di bug bounty in futuro, ma era una discussione prematura in quel momento.
- **28–29 maggio 2025** — Dopo due settimane a discutere la generale mancanza di *serietà* di Unitree riguardo alla sicurezza, viene creata `[email protected]` come gesto di buona volontà.
-
L'email dal titolo *"Prossimi passi... re: segnalazione di una vulnerabilità critica in Unitree G1"* ha evidenziato la mancanza di pratiche di divulgazione, i report ignorati di Darknavy e quelli precedenti, e ha suggerito una demo di persona con una build di debug o un robot in prestito (come Unitree invia agli influencer). Entrambe le opzioni sono state rifiutate, incluso un'offerta di incontro all'ICRA.
- **8 giugno 2025** — Unitree ha risposto: "Una patch relativa al Go1 'Zhexi' è già online da aprile" con il link <https://www.unitree.com/download/go1>, aggiungendo "GitHub è solo per problemi di esecuzione del repository. Quindi per la cybersecurity, suggeriamo di usare ora i nuovi canali." Le risposte si sono ridotte.
- **14–26 giugno 2025** — Li abbiamo sollecitati sulla trasparenza del codice con licenza MIT Cheetah; al contrario dell'uso di routine di crittografia e dell'accesso controllato alle loro istanze del sottosistema linux per offuscare il codice preso in prestito.
- La risposta è arrivata il 26 giugno: *"scusa per la risposta in ritardo. Non ho dimenticato. Ho solo bisogno di più tempo."*
- In quel periodo Unitree ha pubblicato un'offerta di lavoro per personale di sicurezza. [Offerta di lavoro](https://m.zhipin.com/web/common/security-check.html?seed=F0HDtXiugDFyEi4Ap0g8%2FTu2hnxkObxC1s2HV5XA8%2Fw%3D&name=8955eed0&ts=1757704720826&callbackUrl=%2Fjob_detail%2F8f6b34a1ca755b4f03Fz2tq7EFVU.html&srcReferer)
- **18 luglio 2025** — Email dal titolo *"Allooooora abbiamo finito qui? Perché io sto per finirla qui...."* inviata a causa del silenzio e della mancanza di progressi nella negoziazione dei confini della divulgazione.
- **20 luglio 2025** — Unitree ha riconosciuto che abbiamo "vulnerabilità note del G1", ma ha affermato che affrontare le nostre presunte scoperte con correzioni "richiede un'iterazione completa del sistema che richiederà *trimestri o anni,"* e ha indicato un futuro portale di sicurezza pubblico come traguardo.
- **25 luglio 2025** — Unitree ha lanciato la campagna marketing dell'R1. Successivamente, non sono state ricevute ulteriori comunicazioni.
- È stata presa la decisione di divulgare pubblicamente e lasciare che Unitree risolva secondo le proprie tempistiche. Non verranno effettuati ulteriori tentativi di divulgazione per nuove scoperte.
- **2 settembre 2025** - Unitree annuncia un obiettivo di valutazione IPO di 7 miliardi di dollari USA per la prossima IPO del quarto trimestre 2025.
## Disclaimer
⚠️ **Avvertenza:** Questo codice è solo a scopo educativo e di ricerca. Non usarlo su dispositivi che non possiedi.
## Uno schema ricorrente di problemi di sicurezza
Questa vulnerabilità non è un incidente isolato. Ricerche precedenti condotte da noi hanno rivelato pattern preoccupanti nelle pratiche di sicurezza di Unitree:
**CVE-2025-2894:** [I ricercatori hanno scoperto una backdoor nei robot della serie Go1 precedente](https://takeonme.org/cves/cve-2025-2894/), che Unitree in seguito ha definito "codice residuo". Tuttavia, come abbiamo notato nel report sul Go1, che si tratti di una backdoor intenzionale o di programmazione sciatta, entrambi gli scenari indicano un'azienda che non dà priorità alla sicurezza.
Ora, nella prossima generazione di robot (Go2, G1, H1, B2), vediamo gli stessi fallimenti di sicurezza fondamentali: chiavi hardcoded, autenticazione banale e chiamate di sistema non sicure. Ciò suggerisce che **Unitree non ha imparato dai precedenti problemi di sicurezza** e continua a distribuire prodotti con vulnerabilità critiche.
Lo schema è chiaro:
- **Serie Go1:** Backdoor nascoste (CVE-2025-2894)
- **Report sconosciuto di DarkNavy** "Nel GeekPwn 2022, abbiamo... contattato Unitree per una divulgazione responsabile (ma non abbiamo ricevuto risposta)"
- **Serie Go2/G1/H1/B2:** Iniezione di comandi via BLE (questa ricerca)
Per un'azienda che impiega robot in contesti di polizia e militari, questo livello di negligenza sulla sicurezza è inaccettabile.
## Conclusione
La combinazione di chiavi crittografiche hardcoded, bypass dell'autenticazione banale e iniezione di comandi crea una tempesta perfetta per uno sfruttamento su larga scala. La natura wormable di questa vulnerabilità la rende particolarmente pericolosa in ambienti con più robot.
Considerando il track record di Unitree in termini di problemi di sicurezza e il loro impiego in scenari critici di polizia e militari, è necessaria un'azione immediata per affrontare questi fallimenti di sicurezza sistemici.
Abbiamo seguito le pratiche di divulgazione responsabile e stiamo collaborando con Unitree per affrontare questi problemi. Questa ricerca è intesa solo a scopi educativi e difensivi.
---
## Avviso legale
⚖️ Questa ricerca è stata condotta su apparecchiature legalmente possedute per scopi educativi e di ricerca sulla sicurezza. Qualsiasi utilizzo di queste informazioni per scopi malevoli è severamente vietato e potrebbe violare le leggi applicabili.
Ricorda: Da grandi poteri derivano grandi responsabilità. Usa questa conoscenza per costruire sistemi migliori e più sicuri!
## Contributi
Se trovi ulteriori problemi o miglioramenti, non esitare a inviare una pull request o ad aprire una issue.
## Licenza e accesso a questi file
Questi file sono rilasciati con licenza Creative Commons [CC BY-NC-SA 4.0](https://creativecommons.org/licenses/by-nc-sa/4.0/).
<p align="left">
<img src="https://assets.kitploit.com/production/public/readmes/49064/29490d1f406beb842255421807acdf0e4327f9cdf7547041398560fd7452a5ea.png">
</p>
Questa licenza ti concede diritti specifici, ma limitati, all'uso di questi file.
<p align="left">
<img src="https://assets.kitploit.com/production/public/readmes/49064/00bb7938b330aa21407316a9f3d62fdad4e502fddc76237f7ae4e6b518386dcb.png">
</p>
[Licenza internazionale Attribution NonCommercial ShareAlike 4.0](https://creativecommons.org/licenses/by-nc-sa/4.0/legalcode.en)
Sei libero di:<br>
Condividere — copiare e ridistribuire il materiale con qualsiasi mezzo o formato<br>
Adattare — remixare, trasformare e costruire sul materiale<br>
Il licenziante non può revocare queste libertà finché rispetti i termini della licenza.<br>
Ai seguenti termini:<br>
Attribuzione — Devi riconoscere una menzione adeguata, fornire un link alla licenza e indicare se sono state apportate modifiche. Puoi farlo in qualsiasi modo ragionevole, ma non in modo da suggerire che il licenziante approvi te o il tuo utilizzo.<br>
NonCommerciale — Non puoi utilizzare il materiale per scopi commerciali.<br>
ShareAlike — Se remixi, trasformi o costruisci sul materiale, devi distribuire i tuoi contributi con la stessa licenza dell'originale.<br>
Nessuna restrizione aggiuntiva — Non puoi applicare termini legali o misure tecnologiche che limitino legalmente altri dal fare qualsiasi cosa la licenza consenta.<br>
Avvisi: Leggi [l'interpretazione NonCommercial di Creative Commons](https://wiki.creativecommons.org/wiki/NonCommercial_interpretation) per maggiori informazioni sulla licenza.<br>
Questo significa direttamente che NON puoi far pagare l'accesso a questi file, e non puoi aggiungerli alla tua piattaforma commerciale di sfruttamento delle vulnerabilità, né metterli dietro un paywall, perché esplicitamente non hai il permesso di farlo; in effetti, ti è espressamente vietato farlo senza potenziali conseguenze legali.
Questa ricerca è condivisa a scopo educativo. Si prega di usarla in modo responsabile.