После поста от "Душнилы" хочется сказать, что там упоминается BlueBorne (2017), KNOB (2019) и BLESA (2020), но реальность 2025 года ещё хуже и BT-стэк(bluetooth classic/BLE) в андроиде - это прям какой-то бич гуглов, да и не только у них обстоят так дела(что касается умных устройств/IoT - пока что нет стабильных средств закрепиться в системе, поэтому и цены на рыке эксплойтов не шибко высокие)... столько уязвимостей проэксплуатировал админ(в основном - связанное с тачками и телефонами) и до сих пор со всеми защитами вот такое(обновление, которое прилетело с ноябрьским бюллетенем в андроид-устройства).

Да и в принципе, за 25-й год было раскрыто и исправлено множество высоких и критических уязвимостей: CVE-2025-48539, CVE-2025-26438, CVE-2025-22435, CVE-2025-21827, в январе вообще 6 штук было исправлено и множество других.

Чтобы далеко не ходить - CVE-2025-48593(исправление тут), по сути UAF в HFP(Hands-Free Profile) Client SDP Discovery Database -> proximal 0-click RCE(если говорить просто, то удалённое исполнение кода без участия с "целью" в ограниченной области - proximal, раньше называлось как server-side), проблема возникает, когда настроена существующая база данных обнаружения, а сопряженное устройство пытается настроить другую(это обходить сопряжение - была другая уязвимость).

Жертва сканирует/подключается к нашему AG -> жертва отправляет запрос на поиск SDP по L2CAP (CID 0x0002) -> мы задерживаем частичный респонс SDP, начиная асинхронный поиск -> мы отправляем LMP_detach для удаления ACL, публикуя API_CLOSE_EVT -> конечный автомат переходит к закрытию, повторно использует блок -> bta_hf_client_cb_init зануляет p_disc_db без SDP_CancelServiceSearch -> отложенный коллбэк SDP обращается к устаревшим p_disc_db, вызывающий UAF -> повреждение памяти/RCE в контексте bluetoothd

Трёхлетние исследования подтверждают неадекватность безопасности, в работе BlueToolkit протестировано 22 реальных автомобиля от 14 производителей (2016-2023 годы выпуска) и обнаружено более сотни уязвимостей.

Почему именно Bluetooth опасен? Те же уязвимости конечного автомата(TLV-формат, CVE-2017-0781, CVE-2020-12351 и CVE-2023-45866) остаются без криминалистических следов, атаки через L2CAP Configuration, AVRCP Browsing disruption и нарушение зависимостей между протоколами могут быть проэксплуатированы для достижения RCE без записи в логи приложений, так как атака происходит на уровне базовой полосы и LMP.

Из опыта исследования беспроводных протоколов, хочется отметить, что очень много уязвимостей именно из-за не самой лучшей реализации стандарта технологии(хотя и в них бывают уязвимости при проектировании) в конечной системе.

Под постом, прикладываем свежие выступление касательно исследования блютуза со стороны безопасности.

Хорошая новость - эти атаки имеют ограничения по дистанции и требуют от атакующего близкое нахождение от цели(proximal/adjacent, не переводим, чтобы было проще искать в сети такой класс атак), а также есть не мало проблем в достижении надежности эксплойтов(что очень важно в opsec-операциях).

В случае интереса к этому вопросу у Вас, аудитория, будем разбирать.

⭐️ Полезная Нагрузка

Важно! Вся информация ниже - для ознакомления и защиты! Показали вид со стороны атакующего(их).

Как верно отметили в комментарии под постом, возможно и через wi-fi, медиатеки славятся своей "безопасностью" и если хотите чего-то свежего, то вот пост и эксплойты, плюс если уж говорить proximal/adjacent, то это и атаки на бэйсбенды, когда подниматься "фейковая" вышка мобильной связи(базовая станция), причём нередко с использованием SDR. Касательно фейковых базовых станций - атаки обычно в пределах половины или километра от цели проводятся

Настраивается поддельная LTE-станция (Rogue eNodeB) с помощью SDR и ПО (по типу srsRAN) на частоте оператора жертвы (EARFCN) с высоким уровнем сигнала (RSRP) -> устройство жертвы подключается к Rogue eNodeB, отправляя Attach Request -> мы отправляем Identity Request и захватываем IMSI жертвы -> Rogue eNodeB отправляет RRC Connection Release с Redirection Info, указывающее GSM-частоту (ARFCN) -> устройство переключается на поддельную GSM-станцию (Rogue BTS), запущенную через OpenBTS, и выполняет Location Update -> Rogue BTS отключает шифрование (A5/0) или использует слабое шифрование (A5/1) -> мы перехватываем или подменяет звонки, SMS и данные через MitM-атаку.

Даже если оператор сотовой связи(опосос) выключил 2G сеть, большинство свежих бэйсбендов поддерживают 2G

Основной вектор атаки:
LTE Downgrade(LTE->GSM) + FAKE-BTS(фековая базовая станция):
📞Используем устройство для LTE downgrade (IMSI-catcher/самодельный джаммер), чтобы переключить цель на 2G.
📞Разворачиваем фальшивую 2G базовую станцию (FAKE-BTS) на базе полнодуплексной SDR(можно и несколько Hackrf One использовать, но на практике - не очень вариант, только если как крайний). Причем, большинство телефонов подключатся к ней, так как 2G поддерживается аппаратно, телефон жертвы, не найдя официальной 2G сети, подключится к фальшивой станции, если она доступна.
📡Перехватывать:
📁Метаданные (IMSI, IMEI, время звонков, соседние устройства).
📁Звонки и SMS через эмуляцию MSC (Mobile Switching Center) и перенаправление на клон IMSI.
Важно:
⚠️Убедиться, что FAKE-BTS синхронизирована по таймингу с запросами телефона жертвы.
⚠️Клонирование IMSI и Kc (ключа шифрования 2G) позволяет перенаправлять трафик через подконтрольный узел, даже в сетях 4G/5G.

Далее - интереснее(про обход LTE-only(устройство не переключается на 2G или 3G)) :
📓Чаще такое проворачивается посредством экслуатации бэйсбендов(в принципе, после получения модели телефона и версии fw/обновления безопасности, можно попробовать найти публичный 1/N-day или убить прилично времени и самостоятельно написать эксплойт)
📓манипуляции с handover/подмена параметров сети

Handover уязвимости:
При переходе между eNodeB (в LTE) ключи безопасности (KASME) иногда передаются без защиты и использование этого для извлечения ключей/MITM-атак.

[Из разряда фантастики]Касательно ОКС-7/SS7 эксплуатации(что-то из разряда "ничего себе опирэйшн"):
😅 Получение доступа к SS7 через партнерские сети/взлом опсоса
😅 Извлечение ключей сессии (KASME) для расшифровки трафика в LTE

Также, из отсносительно недавнего - было обнаружено 119 уязвимостей в базовой инфраструктуре LTE / 5G, каждая из которых может привести к постоянному отказу в обслуживании сотовой связи для всего мегаполиса или города , а некоторые из них могут быть использованы для удаленного взлома ядра сотовой связи и доступа к нему .

⭐️ Полезная Нагрузка

📡Современные проблемы радиоэлектроники и телекоммуникаций "РТ - 2022". Материалы 18-ой международной молодёжный научно-технической конференции.

⭐️ Полезная Нагрузка

технология включает в себя опыт ведения боевых действий беспилотниками в Газе, где ЦАХАЛ широко использовал беспилотники XTEND в боевых операциях , и тяжелые уроки были быстро усвоены

"За первую неделю после 7 октября мы узнали больше, чем за предыдущие четыре года", - Авив Шапира , генеральный директор и соучредитель XTEND

⭐️ Полезная Нагрузка