WPair

Сканер уязвимости CVE-2025-36911 (также известной как WhisperPair) и исследовательский инструмент

Возможности • Установка • Использование • Как это работает • Уязвимость • Благодарности

Отказ от ответственности

Это приложение является независимой реализацией, созданной @ZalexDev в личном качестве. Оригинальные исследователи из KU Leuven обнаружили и раскрыли данную уязвимость, но не публиковали никакого кода и не имеют отношения к этому проекту. Их упоминание в разделе благодарностей служит исключительно признанием их исследовательского вклада.

Обзор

WPair — это инструмент оборонительных исследований в области безопасности, который демонстрирует уязвимость CVE-2025-36911 в протоколе Fast Pair от Google. Эта уязвимость затрагивает миллионы Bluetooth-аудиоустройств по всему миру, позволяя выполнять несанкционированное сопряжение и получать потенциальный доступ к микрофону без согласия пользователя.

Назначение: помочь исследователям безопасности, производителям устройств и конечным пользователям выявлять уязвимые устройства, которым требуются обновления прошивки.

Возможности

Скриншоты

Примечание об отслеживании через Find Hub Network (FMDN)

Этот инструмент намеренно не включает функциональность регистрации устройств в FMDN. Хотя цепочка уязвимостей технически позволяет регистрировать скомпрометированные устройства в сети Find Hub Network от Google для постоянного отслеживания местоположения, я решил не реализовывать эту возможность. Превращение чьих-то наушников в скрытый маяк слежения пересекает чёткую этическую границу между исследованиями в области безопасности и сталкерским ПО. Демонстраций записи Account Key и доступа к аудио достаточно, чтобы доказать серьёзность уязвимости.

Установка

Требования

• Android 8.0 (API 26) или выше
• Поддержка Bluetooth LE
• Разрешение на определение местоположения (требуется для BLE-сканирования на Android) / Nearby Devices (A13+)

Загрузка

1. Перейдите в раздел Releases
2. Загрузите последнюю версию WPair-vX.X.X.apk
3. Разрешите «Установка из неизвестных источников», если появится запрос
4. Установите приложение и предоставьте требуемые разрешения

Сборка из исходного кода

git clone https://github.com/zalexdev/whisper-pair-app.git
cd whisper-pair-app
./gradlew assembleDebug

Использование

1. Сканирование устройств

Нажмите Scan, чтобы обнаружить ближайшие устройства Fast Pair. Устройства в режиме сопряжения будут отображаться со значком «Pairing».

2. Проверка уязвимости

Для устройств, не находящихся в режиме сопряжения, нажмите Test, чтобы проверить, уязвимы ли они. Это неинвазивная проверка, которая не выполняет сопряжение с устройством.

3. Эксплуатация (только авторизованное тестирование)

Для уязвимых устройств нажмите Magic, чтобы продемонстрировать полную цепочку эксплуатации:

• Обход Key-Based Pairing
• Извлечение BR/EDR-адреса
• Сопряжение Bluetooth Classic
• Постоянное сохранение Account Key

4. Доступ к аудио

После успешного сопряжения:

1. Нажмите Connect Audio (HFP), чтобы установить профиль Hands-Free
2. Используйте Live для прослушивания в реальном времени через динамик телефона
3. Используйте Record, чтобы сохранить аудио в виде файла M4A

Как это работает

sequenceDiagram
    participant App as WPair
    participant Target as Vulnerable Device
    participant BT as Android Bluetooth

    App->>Target: BLE Scan (0xFE2C service)
    Target-->>App: Fast Pair Advertisement

    Note over App: Vulnerability Test
    App->>Target: GATT Connect
    App->>Target: Read Model ID
    App->>Target: Write Key-Based Pairing (no signature)
    Target-->>App: Response (Vulnerable if accepted)

    Note over App: Exploitation
    App->>Target: Key-Based Pairing Request
    Target-->>App: Encrypted Response + BR/EDR Address
    App->>BT: createBond(BR/EDR Address)
    BT->>Target: Bluetooth Classic Pairing
    Target-->>BT: Pairing Complete

    Note over App: Audio Access
    App->>BT: Connect HFP Profile
    BT->>Target: HFP Connection
    App->>BT: Start SCO Audio
    Target-->>App: Microphone Stream

Схема атаки

flowchart LR
    A[Scan] --> B{Fast Pair<br>Device?}
    B -->|Yes| C[Test Vulnerability]
    B -->|No| A
    C --> D{Vulnerable?}
    D -->|Yes| E[Exploit]
    D -->|No| F[Patched ✓]
    E --> G[Pair Device]
    G --> H[Connect HFP]
    H --> I[Access Microphone]

Уязвимость

CVE-2025-36911: обход аутентификации Key-Based Pairing в протоколе Fast Pair (также известная как WhisperPair)

Серьёзность: Высокая CVSS Score: 8.1 Затронуты: реализации протокола Google Fast Pair

Технические подробности

Протокол Fast Pair использует Key-Based Pairing для аутентификации запросов на сопряжение. Уязвимость существует по следующим причинам:

1. Отсутствие проверки подписи: многие устройства принимают запросы Key-Based Pairing без проверки криптографической подписи
2. Отсутствие подтверждения пользователем: протокол не требует явного согласия пользователя на сопряжение
3. Постоянный доступ: злоумышленники могут записывать Account Keys для постоянного отслеживания устройства

Воздействие

• Несанкционированное сопряжение: злоумышленник сопрягается с наушниками жертвы без её согласия
• Доступ к микрофону: полный доступ к микрофону устройства через профиль HFP
• Отслеживание местоположения: постоянное отслеживание через трансляцию Account Key

Затронутые устройства

К числу основных затронутых производителей относятся:

• JBL
• Harman Kardon
• Sony (отдельные модели)
• Marshall
• И многие другие...

Структура проекта

WhisperPair/
├── app/src/main/java/com/zalexdev/whisperpair/
│   ├── MainActivity.kt          # UI and navigation
│   ├── Scanner.kt                # BLE Fast Pair scanner
│   ├── FastPairDevice.kt         # Device data model
│   ├── VulnerabilityTester.kt    # Non-invasive vuln check
│   ├── FastPairExploit.kt        # PoC exploit implementation
│   └── BluetoothAudioManager.kt  # HFP audio handling
├── app/src/main/res/
│   └── ...                       # UI resources
└── README.md

Благодарности

Разработчик приложения

@ZalexDev

Группа авторов оригинального исследования

KU Leuven, Бельгия

* Основные авторы

Финансирование оригинального исследования: программа исследований в области кибербезопасности правительства Фландрии (VOEWICS02)

Ресурсы

• Научная статья WhisperPair
• Видео-демонстрация
• Исследовательская группа COSIC

Освещение в СМИ

• WIRED
• 9to5Google

Юридический отказ от ответственности

Этот инструмент предоставляется исключительно для авторизованных исследований в области безопасности и образовательных целей.

• Тестируйте только те устройства, которыми вы владеете или на тестирование которых имеете явное письменное разрешение
• Несанкционированный доступ к компьютерным системам незаконен в большинстве юрисдикций
• Разработчики не несут ответственности за неправомерное использование этого инструмента
• Этот инструмент предназначен для помощи в выявлении уязвимых устройств с целью их исправления

Используя данное программное обеспечение, вы соглашаетесь использовать его ответственно и в соответствии со всеми применимыми законами.

Смотрите также

Поддержка разработки

Если WhisperPair оказался полезным для ваших исследований в области безопасности:

Пожертвования в криптовалюте:

TRC20 (USDT): TXVt15poW3yTBb7zSdaBRuyFsGCpFyg8CU

Лицензия

Этот проект распространяется под лицензией Apache License 2.0 — подробности см. в файле LICENSE.

_{Создано с ❤️ для сообщества исследователей безопасности}