Intromision mediante Bluetooth - Consideraciones basicas y Ejecucion

IDENTIFICACIÓN DE DISPOSITIVOS BLUETOOTH

VULNERABILIDAD ES Y ATAQUES A TELÉFONOS MÓVILES

¿QUÉ ES BLUETOOTH?: Bluetooth es la especificación que define un estándar global de
comunicaciones inalámbricas para redes de área personal que permite la transmisión de voz
y datos entre diferentes equipos mediante un enlace por radiofrecuenci a en entornos de
comunicaciones móviles y estáticos.
ETIMOLOGÍA: El nombre Bluetooth procede del rey danés del siglo X
llamado Harald Blatand (traducido como Harold Bluetooth), conocido por
unificar las tribus en guerra de Noruega, Suecia y Dinamarca e iniciar el
proceso de cristianización de la sociedad vikinga.
HISTORIA:
- 1994: Primeros estudios de Ericsson para comunicaciones inalámbricas
- 1998: Se funda el SIG Bluetooth
- 1999: Especificación Bluetooth 1.0
- Posteriormente, sucesivas versiones: 1.1, 1.2 y 2.0.
FRECUENCIA DE RADIO: Bluetooth trabaja a 2.4 GHz de la banda ISM disponible a nivel
mundial y que no requiere licencia de operador, lo que significa una compatibilidad universal
entre dispositivos Bluetooth.
POTENCIA DE TRANSMISIÓN: se divide en 3 clases de productos:
• Clase 1: 100 mW, con un rango de ~100 m. También 125 – 150m.
• Clase 2: 2.5 mW, con un rango de ~10 m.
• Clase 3: 1 mW, con un rango de ~1 m.
TOPOLOGÍA DE RED:
• Bluetooth es una tecnología de redes PAN (Personal Area Network)
• Comunicación stand-alone a nivel mundial entre dos dispositivos
• Hasta 8 dispositivos se pueden conectar formando una Piconet
• La unión de varias Piconets se denomina Scatternet
DOS TIPOS DE ENLACES:
• Enlace asíncrono sin conexión (ACL) para transmisión de datos.
• Enlace síncrono orientado a conexión (SCO) para tráfico de audio + datos.
ESTÁNDAR BLUETOOTH
DISPOSITIVOS BLUETOOTH
BLUETOOTH presente en multitud de dispositivos de la vida cotidiana:
ESTÁNDAR BLUETOOTH
2 ZONAS:
• MÓDULO Bluetooth: Encargado del interfaz de radiofrecuenci a
• HOST Bluetooth: Encargado de las capas superiores de enlace y aplicación
BLUETOOTH
BLUEZ: LA PILA DE PROTOCOLOS BLUETOOTH PARA LINUX

Sobre la pila de protocolos específicos de Bluetooth cada fabricante puede implementar su
capa de protocolos de aplicación propietarios.
• Windows Stacks: Widcomm, Toshiba, Microsoft Windows XP, IVT Bluesoleil
• Linux Stacks: BlueZ, OpenBT, Affix (Nokia)
BlueZ, adecuada para auditoría de seguridad en dispositivos Bluetooth
• Proyecto Open Source
• Incluye un conjunto de herramientas para funciones Bluetooth
• Bluepin: Gestión de suminitro del PIN en emparejamiento s
• Hciconfig: Configuración de dispositivos Bluetooth locales
• Hcidump: Sniffer local de tráfico HCI
• Hcitool: Gestión del descubrimiento y enlace con otros dispositivos
• L2ping: Envío de solicitudes echo request a nivel L2CAP
• Rfcomm: Gestión de conexiones RFCOMM
• Sdptool: Gestión de SDP y descubrimiento de servicios Bluetooth
• Proporciona librerías para el desarrollo de aplicaciones
• bluez-libs-devel

ESTÁNDAR BLUETOOTH
MECANISMOS DE SEGURIDAD EN BLUETOOTH

AUTENTICACIÓN: es el proceso por el cual un dispositivo Bluetooth verifica su identidad en
otro dispositivo para poder acceder a los servicios que ofrece.
• EMPAREJAMIENTO DE DISPOSITIVOS:
• Intercambio de PIN
• Generación de la clave de enlace (linkkey)
AUTORIZACIÓN: es el procedimiento que determina los derechos que tiene un dispositivo
Bluetooth para acceder a los servicios que ofrece un sistema.
• Se gestiona mediante LISTA DE DISPOSITIVOS DE CONFIANZA
• DISPOSITIVOS DE CONFIANZA: acceso sin restricciones
• DISPOSITIVOS NO CONFIABLES: requieren autorización
CIFRADO DE DATOS: garantiza la confidencialid ad de la
información transmitida sobre un enlace Bluetooth
• CLAVE DE CIFRADO, ESTÁNDAR BLUETOOTH, COMANDOS AT:
Los COMANDOS AT GSM son un juego de instrucciones codificadas que permiten configurar
el teléfono móvil.
• Basados en los comandos AT - Hayes para configuración de modems (1977)
• Permiten establecer una configuración en el terminal y enviarle instrucciones a ejecutar
• El soporte viene dado por el equipo, los comandos son ejecutados con independencia
del canal de comunicaciones: Bluetooth, IrDA, Puerto Serie, …
• En Bluetooth se accede a la capa de comandos AT a través de RFCOMM
• Algunos ejemplos:
• AT+CGMI: Identificación del fabricante
• AT+CGMM: Identificación del modelo
• AT+CPBR=1: Devuelve la primera entrada en la agenda de contactos
• AT+CPBS=“MC”;+CPBR=1: Devuelve la última llamada perdida
• AT+CMGR=1: Devuelve el primer mensaje SMS en bandeja de entrada
• ATD619000000;: Realiza una llamada de voz a un número de teléfono
• AT+CCFC=0,3,+34619000000,145,7: Configura un desvío de llamadas
• Implementación de los comandos AT en los teléfonos se hace por bloques:
• Bloque básico: Información y configuración del terminal, llamadas.
• Bloque de gestión de la agenda de contactos: leer, añadir, eliminar
• Bloque de gestión de mensajes SMS: leer, eliminar, enviar, • Una sesión de comandos AT sigue el modelo petición / respuesta

IDENTIFICACIÓN DE DISPOSITIVOS

La IDENTIFICACIÓN DE DISPOSITIVOS comprende el conjunto de actividades que permiten
obtener información relevante de un dispositivo Bluetooth remoto.
INFORMACIÓN PÚBLICA:
• Estado de visibilidad del dispositivo: Visible / Oculto
• Nombre del dispositivo
• Fabricante del chip Bluetooth
• Naturaleza del equipo
• Servicios ofrecidos por el dispositivo / Perfiles Bluetooth disponibles
INFORMACIÓN IMPLÍCITA:
• Marca y modelo del dispositivo
DETECCIÓN DE DISPOSITIVOS:
Proceso de descubrimiento de equipos situados dentro del
radio de cobertura de nuestro módulo Bluetooth.

DETECCIÓN DE DISPOSITIVOS EN MODO VISIBLE O DISCOVERABLE
• Responsabilida d de la capa HCI
• El equipo origen envía paquetes inquiry y se mantiene en espera
• Los equipos destino en modo visible cambian a estado inquiry_respon se y envían una
respuesta con su dirección MAC y otros parámetros
• Los equipos destino en modo oculto nunca entran en modo inquiry_respon se

DETECCIÓN DE DISPOSITIVOS EN MODO OCULTO O NON DISCOVERABLE
• Que no se vea no significa que no esté ahí
• Ciertos paquetes Bluetooth obligan al dispositivo que los recibe a devolver una
respuesta independientem ente de su estado de visibilidad
(Ejemplo: La función de resolución de nombre: hci_read_remot e_name)
• Técnica: Ataque por fuerza bruta a un rango de direcciones MAC

IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO

• Naturaleza del equipo
• Cada dispositivo incorpora en la cabecera de nivel Banda Base de sus paquetes el
campo Class of Device, que consta de dos subcampos:
• MAJOR DEVICE CLASSES: identifica el tipo genérico de dispositivo
• MINOR DEVICE CLASSES: identifica el tipo específico de dispositivo

EJEMPLO DE IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO
0x320114
representado en binario es
00110010000000 0100010100
Nº bit: 23 22 21 20 19 18 17 16 15 14 13 | 12 11 10 09 08 07 | 06 05 04 03 02 | 01 00
Valor: 0 0 1 1 0 0 1 0 0 0 0 |0 0 0 0 1 0 |0 0 1 0 1 | 0 0
MAJOR MINOR

DESCUBRIMIENTO DE SERVICIOS: Capacidad de buscar y encontrar servicios disponibles
en dispositivos Bluetooth. A través de los servicios, dos dispositivos pueden ejecutar
aplicaciones comunes e intercambiar datos. Responsabilida d del SDP (Service DiscoveryProto col)

SERVICE CLASS (Clase de servicio)
• Describe los servicios genéricos soportados por un dispositivo
• A través del campo Class of Service
• Spec:

SERVICE RECORD (Registro de servicio)
• Describe los atributos de un determinado servicio: nombre, descripción, canal, …
• 2 tipos de operaciones SDP relacionadas con el descubrimiento de servicios:
• Búsqueda de servicios: encontrar dispositivos que ofrecen un servicio
• Enumeración de servicios: conocer los servicios que ofrece un dispositivo BLUEZSCANNER

BLUEZSCANNER
Es un sencillo escáner de dispositivos Bluetooth basado en BlueZ
Se distribuye libremente bajo licencia GNU.
Implementa las siguientes funciones:
• Descubrimiento de dispositivos Bluetooth cercanos
• Resolución del nombre de dispositivo
• Fabricante del chip Bluetooth incorporado
• Identificación de la naturaleza del equipo
• Descubrimiento de servicios / perfiles bluetooth

EL TELÉFONO MÓVIL...
INSTRUMENTO INDISPENSABLE DE COMUNICACIÓN CON OTRAS PERSONAS

• Necesidad de disponibilidad en todo momento
• Realizar / recibir llamadas
• Enviar / recibir SMS
CONTIENE INFORMACIÓN CONFIDENCIAL
• Agenda de contactos (nº de teléfonos e incluso direcciones)
• Mensajes SMS/MMS con contenidos personales
• Calendario de citas
• Multimedia: fotografías, videos, grabaciones de voz, ...
• Nuevos contenidos y mayor capacidad: emails, contraseñas almacenadas, ...
RIESGOS
• Consumo del saldo: llamadas de voz, GPRS, envío de SMS, ...
• Acceso a información confidencial: lectura, modificación, borrado.
• Inutilización temporal del terminal (Denial of Service)

TIPOS DE ATAQUES
ATAQUES A TELÉFONOS MÓVILES

BLUESNARFING:
• Snarf: Acceso, robo, copia de ficheros de datos del teléfono móvil
• Agenda de contactos, calendario de citas, imágenes, ...

EJECUCIÓN DE COMANDOS AT
• Precedente: Ataque Bluebug
• Comandos AT, juego de instrucciones que permiten configurar el teléfono
• Permiten realizar llamadas, acceso a agenda de contactos y mensajes SMS, …
• Control total del terminal, equivale a obtener una shell de comandos en un PC

ATAQUES DoS
• Denial of Service (Denegación de Servicio)
• Generalmente se deben a desbordamiento s de búfer: Ping of the Death, ...
• Inutilización temporal del teléfono: bloqueo, reinicio del terminal o cuelgue de servicios

SPAM / BLUEJACKING
• Envío de archivos sin consentimiento: vCard, publicidad comercial, ...
• Requiere autorización para recibir el archivo, se puede evitar
• Más que un “ataque” es una molestia, si se padece en exceso

1) ATAQUES A LOS PRIMEROS TELÉFONOS MÓVILES BLUETOOTH
• Vulnerabilidad es basadas en implementación incorrecta de los fabricantes
• Ataque BLUESNARF
• Ataque BLUEBUG
• Ataque HELOMOTO

2) ATAQUES A TELÉFONOS MÓVILES BLUETOOTH ACTUALES
• No hay vulnerabilidad es importantes, los fabricantes se preocupan
• Tendencia actual: Saltarse las mecanismos de seguridad de Bluetooth
• Ataque BLUELINE
• Ataque BLUE MAC SPOOFING

BLUESNARF se basa en la extracción de archivos de un teléfono móvil Bluetooth
a través del Perfil de Carga de Objetos (OBEX Object Push) sin autorización del usuario
propietario.
El Perfil de Carga de Objetos (OPUSH, Object Push Profile) permite la carga y descarga de
objetos de datos entre dispositivos Bluetooth.
La vulnerabilidad se basa en una implementación incorrecta del Perfil de Carga de Objetos,
que carece de mecanismos de autenticación y autorización, y que permite a un atacante
descargarse archivos de nombre conocido, como la agenda de contactos almacenada en el
terminal o el calendario de citas.

BLUEBUG es una vulnerabilidad que permite a un atacante establecer una conexión RFCOMM
a un canal oculto sin necesidad de autenticación y ejecutar comandos AT en el teléfono
comprometido.
Explotando esta vulnerabilidad, un atacante podría realizar las siguientes funciones:
• Información básica: Marca, modelo, IMEI, …
• Llamadas de voz, desvío de llamadas, …
• Agenda de contactos: Leer, escribir, borrar, …
• Agenda de llamadas: Últimas llamadas perdidas, recibidas o realizadas.
• SMS: Leer bandeja de entrada, escribir y enviar, borrar, …

HELOMOTO es un ataque que sólo afecta a teléfonos móviles Motorola
La vulnerabilidad se basa en una implementación incorrecta de la gestión de la lista de
dispositivos de confianza.
El ataque se desarrolla del siguiente modo:
El atacante inicia una conexión al Perfil de Carga de Objetos (OBEX Object Push) con la
intención de enviar una tarjeta de visita o vCard.
De forma automática el dispositivo atacante es añadido a la lista de dispositivos de confianza
del terminal, aunque la conexión no finalice con éxito.
Con su equipo incluido en la lista de dispositivos de confianza, el atacante puede conectarse a
perfiles que requieran autorización, como el Perfil de Pasarela de Voz (Voice Gateway Profile).
Una vez establecida la conexión con el Perfil de Pasarela de Audio, el atacante puede acceder
a la ejecución de comandos AT en el teléfono móvil.

En los teléfonos móviles actuales la seguridad se visto mejorada notablemente:
Casi la totalidad de los servicios requiere autenticación. Las excepciones son algunos servicios
en los que se omite este nivel de seguridad por comodidad del modelo de uso, como el Perfil de
Carga de Objetos (OBEX Object Push) o el Perfil de Pasarela de Voz (Voice Gateway Profile).
Todos los servicios requieren autorización. Si un dispositivo no confiable intenta conectarse a
cualquier servicio, el usuario recibirá una notificación en pantalla para que autorice dicha
conexión explícitamente.
Algunos modelos, como los nuevos teléfonos móviles Motorola, deniegan automáticamente
cualquier intento de conexión proveniente de cualquier equipo no incluido en el histórico de
dispositivos conectados anteriormente.
TENDENCIA ACTUAL: Intentar saltarse los mecanismos de seguridad de Bluetooth
• Engañando al usuario para que autorice la conexión: Ataque BLUELINE
• Suplantando a otros equipos de confianza: Ataque BLUE MAC SPOOFING

BLUELINE es un ataque que afecta a teléfonos móviles Motorola como RAZR o PEBL
El objetivo del ataque BLUELINE es saltarse la autorización de acceso al Perfil de Pasarela de
Voz (Voice Gateway Profile) y poder ejecutar comandos AT en el teléfono móvil.
En los teléfonos móviles actuales, el mecanismo de autorización exige que todo dispositivo no
confiable sea autorizado explícitamente por el usuario para permitir el acceso a los servicios que
requieran este nivel de seguridad.

El ataque BLUELINE permite provocar una falsificación o spoofing del interfaz sustituyendo el
mensaje original por un texto malicioso capaz de engañar al usuario.
La falsificación se consigue explotando un tratamiento incorrecto del juego de caracteres en el
sistema operativo al incluir el carácter de escape 0x0d en el nombre del dispositivo atacante.
hciconfig hci0 name `perl -e 'print
"Pulse\x0daceptar\x0dpara\x0ddeshabilitar\x0dsilencio\x0d\x0d"'`
Si el usuario cae en el engaño, aceptará la conexión al Perfil de Pasarela de Voz y el atacante
dispondrá de autorización para ejecutar comandos AT en el terminal.

BLUE MAC SPOOFING permite a un atacante suplantar la identidad de un dispositivo
de confianza para atacar un teléfono móvil y utilizar sus credenciales para acceder a servicios
que requieren autenticación y/o autorización.
El ataque BLUE MAC SPOOFING se puede desarrollar en dos niveles:
• Suplantación de la dirección MAC de un
dispositivo de confianza para acceder a
servicios que requieren autorización.
• Suplantación de la dirección MAC de un
dispositivo de confianza y obtención de la
clave de enlace (linkkey), generada durante
el emparejamiento del dispositivo suplantado
con el teléfono móvil, para acceder a servicios
que requieren autenticación.
El principal inconveniente es que los adaptadores
Bluetooth convencionales no permiten modificar la
dirección MAC del módulo.

MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH

Se denomina MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH al envío de
contenidos de información y publicidad a teléfonos móviles Bluetooth.
• Marca corporativas: Estrategia de promoción y publicidad
• Instituciones: Envío de información en puntos de interés general
• Se sitúan HotSpots en puntos estratégicos de elevado tránsito de personas
• Alcance de ~100m
• Se envían archivos a través del Perfil de Carga de Objetos (OBEX Object Push)
• No necesita autenticación, los usuarios sólo deben autorizar el envío
• Los objetos de información son de diversa naturaleza:
• Archivos de texto
• Imágenes
• Archivos de audio y tonos
• Videos
• Paquetes instalables (.sis, .jar, …)
• Algunos HotSpots inteligentes son capaces de identificar la marca y el modelo del teléfono
objetivo y adaptar el contenido del objeto a los formatos soportados

BLUEZSPAMMER es un sencillo HotSpot basado en BlueZ capaz de enviar archivos a
teléfonos móviles Bluetooth con soporte para el Perfil de Carga de Objetos (OBEX Object Push)
Se distribuye libremente bajo licencia GNU.
Implementa las siguientes funciones:
• Descubrimiento de dispositivos Bluetooth cercanos
• Filtro de teléfonos móviles y smart phones
• Modo Demo, solo descubre dispositivos susceptibles de recibir spam
• Filtro de códigos MAC de fabricantes de chips Bluetooth
• Envío de archivos a través del Perfil de Carga de Objetos con ObexPush

BLUEZSPAMMER
El proyecto persigue el desarrollo de una aplicación troyano para sistemas Symbian Serie s60.
El objetivo es concienciar a la gente de que el Marketing de Proximidad puede ser utilizado
como una estrategia de envío masivo de aplicaciones maliciosas y virus.
Promovemos mantener una actitud prudente a la hora de aceptar envíos a nuestro teléfono
móvil provenientes de fuentes desconocidas, aunque en apariencia parezcan de confianza.
El proyecto será una Prueba de Concepto, con el fin de demostrar que se podría desarrollar
una aplicación con interfaz amigable pero que por debajo ejecute acciones maliciosas que
perjudiquen al usuario.
La plataforma de desarrollo será Symbian C++ para teléfonos móviles Serie s60, muy
extendidos.

PROYECTO TROYANO BLUETOOTH
MARKETING DE PROXIMIDAD

El interfaz de la aplicación troyano mostrará contenidos de ocio y publicidad de una
importante marca corporativa.
La acción maliciosa consistirá en:
• Añadir a la lista de dispositivos emparejados en el teléfono móvil objetivo una dirección MAC predefinida
• Especificar una clave de enlace predefinida
• Marcar esa dirección MAC como dispositivo de confianza
Si la acción se lleva a cabo con éxito, el atacante podrá utilizar la dirección MAC y clave de
enlace predeterminada s para acceder a servicios del teléfono móvil comprometido sin
necesidad de autenticación o autorización.
Advertencias:
• El desarrollo de la aplicación troyano se realizará con fines didácticos y éticos.

By: Alberto Moreno Tablado
Edited by: Lessiem Taralom