Sobre

POC para a vulnerabilidade CVE-2025-36911 WhisperPair, permitindo conectar-se a dispositivos compatíveis sem informações de autenticação.

Este firmware realiza apenas a descoberta e confirmação de vulnerabilidade e não implementa escuta de áudio completa.

Saída durante os testes:

• Mac de teste: usará o próprio Mac do ESP e o Mac do dispositivo que você está testando para tentar parear.
• Verificar se o dispositivo expõe a chave se você perguntar educadamente: Expor chave via Leitura; Transmitir chave em anúncios.
• Aceitar chave errada: tentar enviar uma chave de segurança aleatória.

Testado no dispositivo: Freenove ESP32-S3 ESP32 S3 Display CYD 2.8 Polegadas IPS Capacitive Touch Screen 240x320 Pixel

Vídeo

Sobre o Dispositivo

Você pode usar um dispositivo ESP32 para rastrear dispositivos compatíveis com Fast Pair e verificar a vulnerabilidade.

Empresa

Interessado em testes de penetração e dispositivos de segurança? Visite

https://pivotchip.ca

Lógica Central e Protocolo

1. Descoberta e Filtragem

O scanner (BleManager) ignora a descoberta padrão para analisar pacotes brutos de anúncios em busca de cargas GFPS

• Fast Pair: UUID do serviço 0xFE2C.
• Nearby: UUID do serviço 0xFEF3.
• Extração do Model ID: Analisa o Model ID de 3 bytes a partir dos Dados do Serviço para rastrear dispositivos através de rotações de endereço MAC.

2. Gerenciamento de Estado (Desduplicação)

Para lidar com dispositivos BLE com privacidade habilitada que alternam endereços MAC, o sistema usa uma verificação de identidade em camadas

1. Correspondência MAC: Verifica igualdade estrita do endereço bruto.
2. Correspondência de Identidade: Se o MAC for diferente, correlaciona via Model ID ou Nome do Dispositivo.
3. Hot-Swap: Atualiza o endereço MAC armazenado em tempo real quando uma identidade conhecida transmite de um novo endereço, prevenindo falhas de conexão durante os testes.

3. Exploração do Handshake KBP

A função testDevice executa um handshake GFPS bruto para testar a aceitação de pareamento não autorizado

1. Conexão: Estabelece conexão GATT com um tempo limite de 8 segundos.
2. Resolução de Serviço: Localiza o Serviço Fast Pair (0xFE2C) e a Característica KBP (fe2c1234-8366-4814-8eb0-01de32100bea).
3. Construção do Payload:
   • Gera um bloco de 16 bytes: [Type: 0x00] [Flags: 0x11] [Provider Address] [Salt: 8 bytes].
   • Criptografia: Criptografa o bloco usando mbedtls_aes_crypt_ecb com o Salt como chave.
4. Verificação:
   • Escreve o pacote criptografado na característica KBP.
   • Aguarda uma resposta Notification.
   • Vulnerável: O dispositivo envia uma notificação (aceitando o handshake).
   • Seguro: O dispositivo permanece em silêncio ou desconecta.

Configuração de Hardware (config.h)

Projetado para ESP32 com touch FT6336U e displays TFT_eSPI.

Compilação e Gravação

1. Dependências:
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI (Exibição)
   • FT6336U (Entrada)
2. Esquema de Partição: Selecione "Huge APP (3MB No OTA)" para acomodar a pilha BLE.
3. Configuração TFT: Configure User_Setup.h na biblioteca TFT_eSPI para corresponder ao driver ILI9341/ST7789 para sua placa específica.

ou baixe as bibliotecas da Freenove e coloque-as na pasta de Biblioteca do Arduino

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

Uso

• Escaneamento: Alterne SCAN para preencher a lista.
• Segmentação: Toque em uma entrada para iniciar o teste WhisperPair.