Broadcom 802.11 SDK Detection Toolkit

Este repositório contém duas formas de detectar a presença da implementação 802.11 da Broadcom em um roteador alvo:

1. Estaticamente, usando regras YARA no firmware extraído
2. Dinamicamente, executando um script de fingerprinting contra um ponto de acesso ativo

A lista de dispositivos afetados está disponível no final desta página. Esta lista não é exaustiva. Esperamos que a lista completa contenha milhares de dispositivos diferentes, de diversas marcas e modelos.

Regras YARA do Broadcom WPS Monitor

broadcom_wps_monitor.yar contém três detectores candidatos para binários ELF32 ARM e MIPS:

• BRCM_WPS_Monitor_Generic_ELF identifica um binário genérico do Broadcom WPS Monitor a partir de strings independentes de fornecedor e de protocolo.
• BRCM_WPS_Monitor_HAL_Config_ELF identifica a variante mais restrita de evento de configuração HAL.
• VULN_BRCM_WPS_EAP_Fragment_Reassembly_ELF exige a evidência do componente genérico mais um padrão de opcode ARM ou MIPS associado ao caminho vulnerável de remontagem de fragmentos.

Essas regras são auxiliares de triagem. Mudanças no compilador podem evadir padrões de opcode, e um binário corrigido pode reter strings ou bytes de código usados por um detector candidato. Confirme os achados contra o código-fonte integrado ou por revisão manual da validação de comprimento de fragmento e do sink de cópia.

Você pode encontrar binários com este comando:

yara -w -r broadcom_wps_monitor.yar extracted_firmware_dir

Fingerprinter do SDK Broadcom

Certifique-se de que sua interface suporta modo monitor e habilite o modo monitor:

sudo ip link set dev wlp0s12u1 down
sudo iw dev wlp0s12u1 set monitor none
sudo ip link set dev wlp0s12u1 up

Você deve ver algo assim em dispositivos afetados:

sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid VOO-111317
Scanning channels 1-13 for SSID 'VOO-111317' (sweep 1)...
SSID:       VOO-111317
BSSID:      20:0c:c8:16:76:dc
Channel:    1
Vendor:     Netgear
Model:      Netgear
Assessment: LIKELY_VULNERABLE
JSON:       /tmp/broadcom-fingerprint-20261014T203352.732742Z/result.json
PCAP:       /tmp/broadcom-fingerprint-20261014T203352.732742Z/traffic.pcap

sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid Orange-180cd
Scanning channels 1-13 for SSID 'Orange-180cd' (sweep 1)...
SSID:       Orange-180cd
BSSID:      08:6a:0a:f1:80:d1
Channel:    1
Vendor:     TCG300
Model:      TCG300
Assessment: LIKELY_VULNERABLE
JSON:       /tmp/broadcom-fingerprint-20261014T205813.695480Z/result.json
PCAP:       /tmp/broadcom-fingerprint-20261014T205813.695480Z/traffic.pcap

sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid WiFi-2.4-4B3C
Scanning channels 1-13 for SSID 'WiFi-2.4-4B3C' (sweep 1)...
SSID:       WiFi-2.4-4B3C
BSSID:      38:35:fb:13:4b:42
Channel:    1
Vendor:     SagemCom
Model:      SagemcomFast5336v_BBOX3
Assessment: LIKELY_VULNERABLE
JSON:       /tmp/broadcom-fingerprint-20261014T205852.234368Z/result.json
PCAP:       /tmp/broadcom-fingerprint-20261014T205852.234368Z/traffic.pcap

Em dispositivos corrigidos, você verá:

sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid MY-AP
Scanning channels 1-13 for SSID 'MY-AP' (sweep 1)...
SSID:       MY-AP
BSSID:      38:35:fb:13:4b:42
Channel:    1
Vendor:     SagemCom
Model:      SagemcomFast5336v_BBOX3
Assessment: PATCHED_HOSTAPD
JSON:       /tmp/broadcom-fingerprint-20261014T205852.234368Z/result.json
PCAP:       /tmp/broadcom-fingerprint-20261014T205852.234368Z/traffic.pcap

Se o seu dispositivo não anuncia WPS, ele não é afetado e você verá isto:

sudo uv run --with scapy broadcom_fingerprint.py --interface wlx00c0ca588c7e --ssid MY-AP
Scanning channels 1-13 for SSID 'MY-AP' (sweep 1)...
SSID:       MY-AP
BSSID:      1c:0b:8b:xx:xx:xx
Channel:    6
Vendor:     Unknown
Model:      Unknown
Assessment: INCONCLUSIVE
JSON:       /tmp/broadcom-fingerprint-20261019T113912.161025Z/result.json
PCAP:       /tmp/broadcom-fingerprint-20261019T113912.161025Z/traffic.pcap
Warning: selected AP does not advertise WPS

O script de fingerprinting depende de duas coisas:

1. a presença de information elements proprietários da Broadcom
2. uma peculiaridade de implementação que permite diferenciar entre o wps_monitor e o hostapd da Broadcom

A presença de information element proprietário da Broadcom não é um sinal suficientemente forte, pois às vezes ele é adicionado pelo módulo do kernel Linux da Broadcom enquanto a implementação em espaço de usuário não é do SDK deles. Usamos esse sinal para verificar se é Broadcom ou não.

Se for um AP Broadcom, enviamos um frame fragmentado de comprimento zero para diferenciar entre o wps_monitor e o hostapd da Broadcom. O hostapd envia um ACK enquanto o wps_monitor envia um NACK (em resumo).

Se tivermos ambos os sinais (IE Broadcom + peculiaridade de implementação), podemos avaliar com um nível de confiança bastante alto que você é afetado.

Reportando Dispositivos Afetados

Você pode reportar dispositivos afetados abrindo um Pull Request. No seu PR, certifique-se de fornecer o fabricante, produto, versão e, opcionalmente, o Provedor de Serviços de Internet que os implanta. Se você o identificou estaticamente, por favor forneça um link para o firmware. Se você o identificou dinamicamente, por favor forneça o PCAP gerado pelo script de fingerprinting.

Dispositivos Afetados

ESTA LISTA NÃO É EXAUSTIVA. VOCÊ PODE ESTAR AFETADO MESMO QUE SEU DISPOSITIVO NÃO ESTEJA NESTA LISTA.

A melhor forma de verificar isso é obter o firmware, extraí-lo, e executar a regra YARA. Se você não tem acesso ao firmware, você pode executar o script de fingerprinting usando uma interface wireless em modo monitor.