Sony WH-1000XM4 Voice Pack Extractor

Расшифруйте и извлеките голосовые подсказки (MP3) из зашифрованных файлов прошивки Sony WH-1000XM4.

Ключ AES-128-CBC был извлечён путём дампа прошивки Airoha MT2811 наушников через Bluetooth Low Energy с использованием протокола RACE, после чего декомпиляции процедуры расшифровки FOTA на ARM Cortex-M4. Полное техническое описание: docs/WRITEUP.md

Быстрый старт

# Install Bun (if not already installed)
curl -fsSL https://bun.sh/install | bash

git clone https://github.com/HelgeSverre/sony-vp-extract.git
cd sony-vp-extract
bun install

# Downloads from Sony CDN automatically, then extracts
bun run cli/extract.ts --all

Использование

# Extract all — auto-downloads from Sony CDN if voice-packs/ is empty
bun run cli/extract.ts --all [input-dir] [output-dir]

# Extract a single voice pack
bun run cli/extract.ts voice-packs/VP_english_UPG_03.bin extracted/

# Show voice pack info
bun run cli/extract.ts --info voice-packs/VP_english_UPG_03.bin

# Download only (no extraction)
bun run cli/extract.ts --download [output-dir]

Альтернатива на Python

uv run extract_all.py

Загружает с CDN Sony + расшифровывает + извлекает — всё одной командой. Зависимости объявлены встроенно (PEP 723) — uv run обрабатывает всё автоматически.

Доступные языки

Формат голосового пакета

┌───────────────────────────────────────┐
│  Header (4096 bytes)                  │
│  ├── 0x000  Random nonce (32 bytes)   │
│  └── 0x100  TLV metadata             │
│       ├── compression_type = 2        │
│       ├── body_size                   │
│       ├── decompressed_size (1 MB)    │
│       └── SHA-256 of decompressed     │
├───────────────────────────────────────┤
│  Body (offset 0x1000+)               │
│  AES-128-CBC encrypted               │
│  └── LZMA1 compressed                │
│       └── Voice guidance image (1MB)  │
│            ├── Header (version+count) │
│            ├── Entry table (54 × 8B)  │
│            │   (size, abs_offset)     │
│            └── MP3 files (48kHz mono) │
└───────────────────────────────────────┘

Ключ

AES-128-CBC Key: eibohjeCh6uegahf
AES-128-CBC IV:  miefeinuShu9eilo

Найден жёстко прописанным в виде ASCII-строк в секции .rodata прошивки MT2811 CM4 по смещению флеш-памяти 0xD53A (ключ) и 0xD529 (IV). Один и тот же ключ используется во всех устройствах WH-1000XM4 и во всех языковых пакетах.

Как это было найдено

1. Подключились к WH-1000XM4 по Bluetooth (наушники были сопряжены с телефоном)
2. Обнаружили сервис GATT RACE (Airoha Command Extensions) через BLE
3. Выгрузили 59 КБ прошивки CM4 из флеш-памяти с помощью RACE_STORAGE_PAGE_READ (команда 0x0403)
4. Нашли S-блок AES по смещению 0x81F4 в прошивке
5. Определили базовый адрес выполнения 0x04200000 из пула литералов вектора прерываний ARM
6. Декомпилировали функцию расшифровки FOTA, проследив загрузку ключа из пула литералов

Полное техническое описание: docs/WRITEUP.md

Предварительные требования

• Bun ≥ 1.0 — для TypeScript CLI
• uv — для скриптов Python (зависимости разрешаются автоматически через встроенные метаданные)

Извлеките ключ самостоятельно

Если вы хотите самостоятельно проверить ключ, вы можете выгрузить прошивку из своих собственных сопряжённых наушников WH-1000XM4 и извлечь из неё ключ:

# Dump firmware over BLE and extract key
uv run cli/extract_key.py

# Or if you already have a firmware dump:
uv run cli/extract_key.py --firmware your_dump.bin

# Bun alternative (firmware dump required):
bun run cli/extract.ts --extract-key your_dump.bin

Инструмент ищет в бинарном файле прошивки S-блок AES, находит смежные ASCII-строки длиной 16 байт, оканчивающиеся нулём, а затем проверяет каждую потенциальную пару, пытаясь расшифровать голосовой пакет и проверяя наличие корректных заголовков LZMA.

Структура проекта

├── cli/
│   ├── extract.ts          # Bun CLI tool (extract + key finder)
│   └── extract_key.py      # Python BLE firmware dumper + key finder
├── docs/
│   └── WRITEUP.md          # Full technical writeup
├── voice-packs/            # Downloaded .bin files (gitignored)
├── extracted/              # Extracted MP3 prompts (gitignored)
├── extract_all.py          # Python alternative extractor
├── package.json
└── README.md

Отказ от ответственности

Данный проект документирует исследование безопасности, проведённое в образовательных целях на личном оборудовании. Анализируемые наушники были сопряжены и подключены обычным образом — несанкционированного доступа не было.

Голосовые пакеты .bin и извлечённые MP3-подсказки защищены авторским правом Sony Corporation и не включены в данный репозиторий. CLI-инструмент загружает их напрямую с публичного CDN Sony во время выполнения. Не распространяйте расшифрованные голосовые пакеты или извлечённые MP3-файлы. Этот инструмент предоставлен только для исследовательских целей и обеспечения совместимости.

Лицензия

MIT