bin4ry/unipwnFramework de exploração BLE para robôs Unitree: injeção de comandos via chaves AES codificadas permite tomada de controle remota, injeção de payloads e propagação do tipo worm.
Autor: Bin4ry aka Andreas Makris [[email protected]]
Coautor: h0stile aka Kevin Finisterre
Contribuidor: legion1581 aka Konstantin Severov da theroboverse ajudou a corrigir o payload para a injeção e provou isso com um PoC totalmente funcional 🙂 valeu cara, essa foi uma contribuição crítica, muito apreciada!
Data: 20 de setembro de 2025
CVE-2025-35027
CVE-2025-60017
CVE-2025-60250
CVE-2025-60251
A pesquisa deste repositório está incorporada em um artigo que apresenta uma avaliação sistemática de segurança do Unitree G1. O impacto da pesquisa, no entanto, NÃO se limita apenas ao G1, mas a toda a linha de produtos Unitree a partir da série Go2. O código nos robôs Unitree mais novos parece ser um fork do codebase do Go2, o que especificamente torna a linhagem Go1 e outros robôs Unitree anteriores ao Go2 não vulneráveis. Todas as variantes modernas são, no entanto, afetadas neste momento. A Unitree ainda não divulgou um aviso esclarecendo o impacto exato em toda a linha de produtos.
Link para o artigo: https://arxiv.org/abs/2509.14139
Título: Cybersecurity AI: Humanoid Robots as Attack Vectors
Autores: Víctor Mayoral-Vilches, Andreas Makris, Kevin Finisterre```bibtex
@misc{mayoralvilches2025cybersecurityaihumanoidrobots,
title={Cybersecurity AI: Humanoid Robots as Attack Vectors},
author={Víctor Mayoral-Vilches and Andreas Makris and Kevin Finisterre},
year={2025},
eprint={2509.14139},
archivePrefix={arXiv},
primaryClass={cs.CR},
url={https://arxiv.org/abs/2509.14139},
}
* [Análise de Injeção de Comandos no Serviço BLE do Robô Unitree](#unitree-robot-ble-service-command-injection-analysis)
* [Visão Geral](#overview)
* [Descoberta de Serviços BLE](#ble-service-discovery)
* [Engenharia Reversa do Protocolo](#reverse-engineering-the-protocol)
* [Instrução 1: O Handshake "Seguro"](#instruction-1-the-secure-handshake)
* [Instrução 2: Obter Número de Série](#instruction-2-get-serial-number)
* [Instrução 3: Inicializar Modo WiFi](#instruction-3-initialize-wifi-mode)
* [Instrução 4: Definir SSID](#instruction-4-set-ssid)
* [Instrução 5: Definir Senha](#instruction-5-set-password)
* [Instrução 6: Definir Código do País (O Gatilho!)](#instruction-6-set-country-code-the-trigger)
* [A Thread de Configuração WiFi](#the-wifi-setting-thread)
* [A Função Vulnerável: Injeção de Comandos](#the-vulnerable-function-command-injection)
* [Resumo do Fluxo de Ataque](#attack-flow-summary)
* [A Ameaça do Tipo Worm](#the-wormable-threat)
* [Prova de Conceito](#proof-of-concept)
* [Implantação no Mundo Real & Impacto](#real-world-deployment--impact)
* [Implantações Atuais](#current-deployments)
* [Avaliação de Impacto](#impact-assessment)
* [Impacto na Aplicação da Lei & Militar](#law-enforcement--military-impact)
* [Ambientes Corporativos](#corporate-environments)
* [Impacto no Consumidor](#consumer-impact)
* [Propagação do Tipo Worm](#wormable-propagation)
* [Detalhes Técnicos](#technical-details)
* [Arquitetura do Serviço BLE](#ble-service-architecture)
* [Parâmetros Criptográficos](#cryptographic-parameters)
* [Estrutura do Pacote](#packet-structure)
* [Lições Aprendidas](#lessons-learned)
* [Linha do Tempo de Divulgação](#disclosure-timeline)
* [Primeira, e última tentativa de relatar outro problema de segurança em seus robôs emblemáticos G1, Go2 e outros robôs](#first-and-last-attempt-to-report-another-security-issue-in-your-flagship-g1-and-go2-and-other-bots)
* [Aviso Legal](#disclaimer)
* [Um Padrão de Problemas de Segurança](#a-pattern-of-security-issues)
* [Conclusão](#conclusion)
* [Nota Legal](#legal-notice)
* [Contribuição](#contributing)
* [Licenciamento e acesso a estes arquivos](#licensing-and-access-to-these-files)
---
## Visão Geral
Durante nossa pesquisa de segurança em plataformas robóticas da Unitree, descobrimos uma vulnerabilidade crítica na interface de configuração Wi-Fi via Bluetooth Low Energy (BLE). Esta vulnerabilidade afeta múltiplos modelos de robôs Unitree, incluindo as séries Go2, G1, H1 e B2, até o firmware mais recente de hoje [20 de setembro de 2025].
**🎯 Esta representa o primeiro exploit divulgado publicamente direcionado a robôs humanoides!**
A vulnerabilidade combina múltiplos problemas de segurança: chaves criptográficas fixas (hardcoded), bypass trivial de autenticação e injeção de comandos não sanitizada. O que torna isso particularmente preocupante é que é completamente **do tipo worm** - robôs infectados podem comprometer automaticamente outros robôs no alcance do BLE. Esta vulnerabilidade permite que o atacante assuma completamente o controle do dispositivo.
Publicamos as chaves criptográficas em julho [Link para o Tweet](https://x.com/Bin4ryDigit/status/1950566849072005304), mas a Unitree não se importou.
Vamos mergulhar nos detalhes técnicos de como descobrimos e exploramos esta vulnerabilidade.
## Descoberta de Serviços BLE
O primeiro passo foi identificar os serviços BLE expostos pelos robôs. Todos os modelos Unitree afetados expõem um serviço BLE personalizado para configuração de Wi-Fi:```
Service UUID: 0000ffe0-0000-1000-8000-00805f9b34fb
Write Characteristic: 0000ffe2-0000-1000-8000-00805f9b34fb
Notify Characteristic: 0000ffe1-0000-1000-8000-00805f9b34fb
Por meio de engenharia reversa, descobrimos que o robô implementa um gerenciador de recebimento que processa pacotes BLE criptografados. Aqui está o que encontramos:
O gerenciador de recebimento primeiro descriptografa os pacotes recebidos usando parâmetros AES embutidos no código:```python AES_KEY = "df98b715d5c6ed2b25817b6f2554124a" AES_IV = "2841ae97419c2973296a0d4bdfe19a4f" Mode: AES-CFB128
Após a descriptografia, os pacotes são processados com base nos códigos de instrução em uma estrutura switch-case. Vamos examinar cada instrução:
## Instrução 1: O handshake "seguro"
A "autenticação" do handshake é ridiculamente simples:
Basicamente, o robô verifica se o pacote descriptografado contém a string `"unitree"` como segredo do handshake e, em seguida, define o flag `valid_incoming_user` como 1. Esse é todo o mecanismo de "autenticação"!
## Instrução 2: Obter Número de Série
Esta instrução verifica se o usuário está "autenticado" (ou seja, se o flag está definido) e então lê o arquivo do número de série e o retorna. Isso confirma que temos acesso ao sistema.
## Instrução 3: Inicializar o Modo WiFi
Esta instrução inicializa as configurações de WiFi. Os usuários podem escolher entre o modo AP (subcomando = 1) ou o modo STA (subcomando = 2):
## Instrução 4: Definir SSID
Esta instrução armazena o SSID do WiFi. Aqui está nosso primeiro ponto de injeção:
## Instrução 5: Definir Senha
Semelhante ao comando SSID, esta instrução armazena a senha do WiFi. Outro ponto de injeção:
## Instrução 6: Definir o Código do País (O Gatilho!)
Esta instrução define o código do país do WiFi e, crucialmente, aciona a `WifiSettingThreadFunction`:
Quando a instrução 6 é executada, ela inicia a thread de configuração do WiFi, o que nos leva às funções vulneráveis.
## A Thread de Configuração do WiFi
A thread de configuração do WiFi chama `restart_wifi_ap` ou `restart_wifi_sta`, dependendo do modo:
## A Função Vulnerável: Injeção de Comandos
As funções `restart_wifi_ap` (`hostapd_restart.sh`) e `restart_wifi_sta` (`wpa_supplicant_restart.sh`) seguem o mesmo padrão vulnerável.
Aqui está a prova cabal (usando a função `restart_wifi_ap` como exemplo):
A função constrói o seguinte comando:```bash
sudo sh /unitree/module/network_manager/upper_bluetooth/hostapd_restart.sh "wifi_ssid wifi_pass"
Este comando é então passado diretamente para system() sem nenhuma validação ou sanitização de entrada!
Se controlarmos qualquer um dos campos wifi_ssid ou wifi_pass, podemos injetar nossos próprios comandos. Um payload simples como:```bash
";$(reboot -f);#
Seria suficiente para reiniciar o robô. Mas podemos fazer muito mais...
## Resumo do Fluxo de Ataque
Aqui está a sequência completa de ataque que precisamos executar:
1. Enviar o payload criptografado AES "unitree" como dados para a instrução 1
2. Enviar o comando get_sn e descriptografar a resposta para verificar o acesso
3. Enviar init_wifi com o subcomando 1 (AP) ou 2 (STA)
4. Definir wifi_ssid para o nosso payload de injeção como `";$(reboot -f);#`
5. Definir wifi_pass para algum valor arbitrário
6. Definir o código de país do wifi para acionar a thread vulnerável
Se tudo funcionar, o robô deve executar nosso comando injetado com privilégios de root.
## A Ameaça Autopropagável
O que torna essa vulnerabilidade particularmente perigosa é sua natureza **autopropagável**. Com esse método, podemos:
- Executar comandos arbitrários com privilégios de root
- Transferir e executar malware via injeção de payload
- Forçar robôs a se conectarem a redes WiFi controladas pelo atacante
- Criar malware de robô autopropagante que infecta robôs próximos
Um robô infectado pode simplesmente procurar por outros robôs Unitree no alcance do BLE e comprometê-los automaticamente, criando um botnet de robôs que se espalha sem intervenção do usuário.
## Prova de Conceito
Desenvolvemos um framework de exploit de prova de conceito completo que demonstra essa vulnerabilidade. O exploit inclui:
- Scanner BLE e framework de exploit baseados em Python
- APK Android (compartilhado anteriormente em 5 de setembro de 2025 no canal do Slack para testadores via zip protegido por senha)
- Múltiplos payloads predefinidos (ativação de SSH, reinicialização do sistema, comandos personalizados)
- Suporte para todos os modelos de robôs afetados (Go2, G1, H1, B2, ...)
Principais componentes do nosso exploit funcional:```python
AES_KEY = bytes.fromhex("df98b715d5c6ed2b25817b6f2554124a")
AES_IV = bytes.fromhex("2841ae97419c2973296a0d4bdfe19a4f")
HANDSHAKE_CONTENT = "unitree"
def build_pwn(cmd):
return f'";$({cmd});#'
Os robôs Unitree já estão sendo implantados em cenários críticos do mundo real, tornando esta vulnerabilidade especialmente preocupante:
Aplicação da Lei: A Polícia de Nottinghamshire está atualmente testando robôs Unitree para cenários de resposta armada, incluindo:
Operações Militares: Os robôs Unitree estão sendo utilizados pelo PLA da China para aplicações militares, levantando implicações de segurança significativas para operações de defesa.
As implicações desta vulnerabilidade são bastante sérias:
0000ffe0-0000-1000-8000-00805f9b34fb0000ffe2-0000-1000-8000-00805f9b34fb0000ffe1-0000-1000-8000-00805f9b34fbdf98b715d5c6ed2b25817b6f2554124a (embutida no código, igual em todos os dispositivos)2841ae97419c2973296a0d4bdfe19a4f (embutido no código, igual em todos os dispositivos)Encrypted([0x52, length, instruction, data, checksum])
## Lições Aprendidas
Esta pesquisa destaca vários princípios críticos de segurança:
- **Nunca use chaves codificadas (hardcoded):** Cada dispositivo deve ter material criptográfico único
- **Defesa em profundidade:** Múltiplas camadas de segurança previnem pontos únicos de falha
- **Validação de entrada:** Sempre sanitize as entradas do usuário, especialmente antes de chamadas de sistema
- **Testes de segurança:** Testes de penetração regulares podem identificar esses problemas precocemente
## Linha do Tempo da Divulgação
Inicialmente, tentamos a divulgação responsável com a Unitree sobre esta vulnerabilidade:
- **Bug encontrado:** O bug foi encontrado em 14 de abril de 2025 por Andreas Makris (Bin4ry) e discutido em mensagem direta no Slack com Kevin Finisterre (h0stile) e Konstantin Severov (legion1581).
- **PoC desenvolvido:** Em 25 de abril de 2025, Konstantin Severov conseguiu corrigir o payload incorreto de Andreas e criar um payload funcional correto para a injeção. O primeiro PoC nasceu.
- **BLE inseguro encontrado**: Depois que Konstantin verificou a vulnerabilidade de injeção, Andreas encontrou as chaves codificadas (hardcoded) e a autenticação fraca para BLE.
- **Contato inicial:** Vários e-mails foram enviados aos canais de segurança e suporte da Unitree
- **Problemas de comunicação:** Um dos autores (Andreas Makris) foi repetidamente removido dos tópicos de e-mail sem explicação
- **Sem resposta:** A Unitree não demonstrou envolvimento ou interesse significativo em resolver os problemas de segurança
- **Resultado:** Nenhum reconhecimento ou cronograma de correção foi fornecido
Diante da falta de resposta e do aparente desinteresse da Unitree em questões de segurança, **Andreas Makris decidiu interromper as tentativas de divulgação privada com a Unitree para vulnerabilidades futuras**. Quaisquer problemas de segurança adicionais descobertos serão divulgados publicamente, sem notificação prévia ao fornecedor.
Essa decisão reflete a relutância demonstrada pela Unitree em se envolver de forma construtiva em questões de segurança, algo particularmente preocupante dado o seu uso em contextos de aplicação da lei e militares.
### Primeira e última tentativa de relatar outro problema de segurança em seu carro-chefe G1, Go2 e outros robôs
(Iniciada por Kevin Finisterre)
- **14 de maio de 2025** — Tentativa de contato de divulgação feita via [LinkedIn](https://www.linkedin.com/posts/kevin-finisterre-6431069a_fyi-unitree-robotics-is-being-given-an-opportunity-activity-7328446278852407296-qZB4) e [GitHub issue #126](https://github.com/unitreerobotics/unitree_ros/issues/126) apesar de a Unitree ignorar há vários anos outras tentativas de relato *nossas* e de nossos colegas de pesquisa.
-
E-mail intitulado *“Primeira e última tentativa de relatar outro problema de segurança em seu carro-chefe G1, Go2 e outros robôs”* enviado para:
Tony Yang <[email protected]>, <[email protected]>, <[email protected]>, Laikago <[email protected]>, <[email protected]>, <[email protected]>, <[email protected]>, Xing <[email protected]>, XMath <[email protected]>, <[email protected]>, <[email protected]>, <[email protected]>, <[email protected]>
- A Unitree sugeriu imediatamente um possível programa de recompensas (bug bounty) no futuro, mas a discussão foi prematura naquele momento.
- **28–29 de maio de 2025** — Após duas semanas discutindo a falta geral de *seriedade* da Unitree em relação à segurança, `[email protected]` é criado como um gesto de esforço.
-
E-mail intitulado *“Próximos passos... sobre o relato de vulnerabilidade crítica na Unitree G1”* destacou a falta de práticas de divulgação, ignorou a Darknavy e relatos anteriores, e sugeriu uma demonstração presencial com uma compilação de depuração (debug build) ou um robô emprestado (como a Unitree envia para influenciadores). Ambas as opções foram recusadas, incluindo a oferta de encontro na ICRA.
- **8 de junho de 2025** — A Unitree respondeu: “Um patch relacionado ao Go1 ‘Zhexi' já está online desde abril” com o link <https://www.unitree.com/download/go1>, acrescentando “GitHub é apenas para problemas de execução de repositório. Então, para cibersegurança, sugerimos usar os meios atuais.” As respostas diminuíram.
- **14–26 de junho de 2025** — Cobramos transparência sobre o código licenciado do MIT Cheetah; em vez de usar rotinas de criptografia e acesso controlado às suas instâncias de subsistema Linux para ofuscar código emprestado.
- A resposta veio em 26 de junho: *“desculpe pela resposta atrasada. Não esqueci. Só preciso de mais tempo.”*
- Nessa época, a Unitree publicou uma vaga de emprego para equipe de segurança. [Vaga de emprego](https://m.zhipin.com/web/common/security-check.html?seed=F0HDtXiugDFyEi4Ap0g8%2FTu2hnxkObxC1s2HV5XA8%2Fw%3D&name=8955eed0&ts=1757704720826&callbackUrl=%2Fjob_detail%2F8f6b34a1ca755b4f03Fz2tq7EFVU.html&srcReferer)
- **18 de julho de 2025** — E-mail intitulado *“Entããão, terminamos aqui? Porque eu estou quase terminando aqui….”* enviado devido ao silêncio e à falta de progresso na negociação dos limites da divulgação.
- **20 de julho de 2025** — A Unitree reconheceu que temos “vulnerabilidades conhecidas no G1”, mas afirmou que abordar nossas supostas descobertas com correções “exige iteração completa do sistema levando *trimestres ou anos,”* e apontou um futuro portal público de segurança como um marco.
- **25 de julho de 2025** — A Unitree lançou o marketing do R1. Depois disso, nenhuma outra comunicação foi recebida.
- Decisão tomada de divulgar publicamente e deixar a Unitree resolver em seu próprio cronograma. Novas tentativas de divulgação para novas descobertas não serão feitas.
- **2 de setembro de 2025** - A Unitree anuncia meta de avaliação de US$ 7 bilhões para o próximo IPO no 4º trimestre de 2025.
## Isenção de Responsabilidade
⚠️ **Aviso:** Este código é apenas para fins educacionais e de pesquisa. Não use em dispositivos que você não possui.
## Um Padrão de Problemas de Segurança
Esta vulnerabilidade não é um incidente isolado. Pesquisas anteriores realizadas por nós revelaram padrões preocupantes nas práticas de segurança da Unitree:
**CVE-2025-2894:** [Pesquisadores descobriram um backdoor nos robôs da série Go1](https://takeonme.org/cves/cve-2025-2894/), que a Unitree mais tarde afirmou ser "código residual". No entanto, como observamos no relatório do Go1, seja um backdoor intencional ou programação negligente, ambos os cenários indicam uma empresa que não prioriza a segurança.
Agora, na próxima geração de robôs (Go2, G1, H1, B2), vemos as mesmas falhas fundamentais de segurança: chaves codificadas (hardcoded), autenticação trivial e chamadas de sistema inseguras. Isso sugere que **a Unitree não aprendeu com os problemas de segurança anteriores** e continua enviando produtos com vulnerabilidades críticas.
O padrão é claro:
- **Série Go1:** Backdoors ocultos (CVE-2025-2894)
- **Relatório desconhecido da DarkNavy** "No GeekPwn 2022, nós... contatamos a Unitree para divulgação responsável (mas não recebemos resposta)"
- **Série Go2/G1/H1/B2:** Injeção de comandos via BLE (esta pesquisa)
Para uma empresa que implanta robôs em contextos de aplicação da lei e militares, esse nível de negligência em segurança é inaceitável.
## Conclusão
A combinação de chaves criptográficas codificadas (hardcoded), bypass trivial de autenticação e injeção de comandos cria uma tempestade perfeita para exploração em larga escala. A natureza propagável (wormable) desta vulnerabilidade a torna particularmente perigosa em ambientes com múltiplos robôs.
Dado o histórico de problemas de segurança da Unitree e sua implantação em cenários críticos de aplicação da lei e militares, é necessária uma ação imediata para resolver essas falhas sistêmicas de segurança.
Seguimos práticas de divulgação responsável e estamos trabalhando com a Unitree para resolver esses problemas. Esta pesquisa destina-se apenas a fins educacionais e defensivos.
---
## Aviso Legal
⚖️ Esta pesquisa foi conduzida em equipamentos de propriedade legal, para fins educacionais e de pesquisa em segurança. Qualquer uso destas informações para fins maliciosos é estritamente proibido e pode violar as leis aplicáveis.
Lembre-se: Com grandes poderes vêm grandes responsabilidades. Use este conhecimento para construir sistemas melhores e mais seguros!
## Contribuindo
Se você encontrar problemas adicionais ou melhorias, sinta-se à vontade para enviar um pull request ou abrir uma issue.
## Licenciamento e acesso a estes arquivos
Estes arquivos são disponibilizados sob licença Creative Commons [CC BY-NC-SA 4.0](https://creativecommons.org/licenses/by-nc-sa/4.0/).
<p align="left">
<img src="https://assets.kitploit.com/production/public/readmes/49064/29490d1f406beb842255421807acdf0e4327f9cdf7547041398560fd7452a5ea.png">
</p>
Esta licença concede a você direitos específicos, porém limitados, para usar estes arquivos.
<p align="left">
<img src="https://assets.kitploit.com/production/public/readmes/49064/00bb7938b330aa21407316a9f3d62fdad4e502fddc76237f7ae4e6b518386dcb.png">
</p>
[Attribution NonCommercial ShareAlike 4.0 International license](https://creativecommons.org/licenses/by-nc-sa/4.0/legalcode.en)
Você é livre para:<br>
Compartilhar — copiar e redistribuir o material em qualquer meio ou formato<br>
Adaptar — remixar, transformar e construir a partir do material<br>
O licenciante não pode revogar essas liberdades enquanto você seguir os termos da licença.<br>
Sob os seguintes termos:<br>
Atribuição — Você deve dar o crédito apropriado, fornecer um link para a licença e indicar se foram feitas alterações. Você pode fazer isso de qualquer maneira razoável, mas não de forma que sugira que o licenciante endossa você ou seu uso.<br>
NãoComercial — Você não pode usar o material para fins comerciais.<br>
CompartilhaIgual — Se você remixar, transformar ou construir a partir do material, deve distribuir suas contribuições sob a mesma licença do original.<br>
Sem restrições adicionais — Você não pode aplicar termos jurídicos ou medidas tecnológicas que restrinjam legalmente terceiros de fazer qualquer coisa que a licença permita.<br>
Avisos: Leia a [interpretação de NãoComercial do Creative Commons](https://wiki.creativecommons.org/wiki/NonCommercial_interpretation) para mais informações sobre o licenciamento.<br>
Isso significa diretamente que você NÃO pode cobrar pelo acesso a estes arquivos, nem adicioná-los à sua plataforma comercial de exploração de vulnerabilidades, nem colocá-los atrás de paywall, porque você explicitamente não tem permissão para isso; na verdade, você está especificamente proibido de fazê-lo, sob possíveis ramificações legais.
Esta pesquisa é compartilhada para fins educacionais. Use com responsabilidade.