HACKING BLUETOOTH - Seguridad Mobile

HACKING BLUETOOTH 

SEGURIDAD EN TELÉFONOS MÓVILES 

ALBERTO MORENO TABLADO 

elblogdegospel@gmail.com

INTRODUCCIÓN AL ESTÁNDAR BLUETOOTH 

IDENTIFICACIÓN DE DISPOSITIVOS BLUETOOTH 

VULNERABILIDADES Y ATAQUES A TELÉFONOS MÓVILES 

MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH

ESTÁNDAR BLUETOOTH 

DEFINICIÓN DE BLUETOOTH 

¿QUÉ ES BLUETOOTH?: Bluetooth es la especificación que define un estándar global de 

comunicaciones inalámbricas para redes de área personal que permite la transmisión de voz 

y datos entre diferentes equipos mediante un enlace por radiofrecuencia en entornos de 

comunicaciones móviles y estáticos. 

ETIMOLOGÍA: El nombre Bluetooth procede del rey danés del siglo X 

llamado Harald Blatand (traducido como Harold Bluetooth), conocido por 

unificar las tribus en guerra de Noruega, Suecia y Dinamarca e iniciar el 

proceso de cristianización de la sociedad vikinga. 

HISTORIA: 

- 1994: Primeros estudios de Ericsson para comunicaciones inalámbricas 

- 1998: Se funda el SIG Bluetooth 

- 1999: Especificación Bluetooth 1.0 

- Posteriormente, sucesivas versiones: 1.1, 1.2 y 2.0.


ESPECIFICACIÓN DE BLUETOOTH 

FRECUENCIA DE RADIO: Bluetooth trabaja a 2.4 GHz de la banda ISM disponible a nivel 

mundial y que no requiere licencia de operador, lo que significa una compatibilidad universal 

entre dispositivos Bluetooth. 

POTENCIA DE TRANSMISIÓN: se divide en 3 clases de productos: 

• Clase 1: 100 mW, con un rango de ~100 m. También 125 – 150m. 

• Clase 2: 2.5 mW, con un rango de ~10 m. 

• Clase 3: 1 mW, con un rango de ~1 m. 

TOPOLOGÍA DE RED: 

• Bluetooth es una tecnología de redes PAN (Personal Area Network) 

• Comunicación stand-alone a nivel mundial entre dos dispositivos 

• Hasta 8 dispositivos se pueden conectar formando una Piconet 

• La unión de varias Piconets se denomina Scatternet 

DOS TIPOS DE ENLACES: 

• Enlace asíncrono sin conexión (ACL) para transmisión de datos. 

• Enlace síncrono orientado a conexión (SCO) para tráfico de audio + datos.


DISPOSITIVOS BLUETOOTH 

BLUETOOTH presente en multitud de dispositivos de la vida cotidiana:


PILA DE PROTOCOLOS BLUETOOTH 

2 ZONAS: 

• MÓDULO Bluetooth: Encargado del interfaz de radiofrecuencia 

• HOST Bluetooth: Encargado de las capas superiores de enlace y aplicación 

Host Bluetooth 

(software) 

Módulo Bluetooth 

(hardware)


BLUEZ: LA PILA DE PROTOCOLOS BLUETOOTH PARA LINUX 

Sobre la pila de protocolos específicos de Bluetooth cada fabricante puede implementar su 

capa de protocolos de aplicación propietarios. 

• Windows Stacks: Widcomm, Toshiba, Microsoft Windows XP, IVT Bluesoleil 

• Linux Stacks: BlueZ, OpenBT, Affix (Nokia) 

BlueZ, adecuada para auditoría de seguridad en dispositivos Bluetooth 

• Proyecto Open Source http://www.bluez.org 

• Incluye un conjunto de herramientas para funciones Bluetooth 

• Bluepin: Gestión de suminitro del PIN en emparejamientos 

• Hciconfig: Configuración de dispositivos Bluetooth locales 

• Hcidump: Sniffer local de tráfico HCI 

• Hcitool: Gestión del descubrimiento y enlace con otros dispositivos 

• L2ping: Envío de solicitudes echo request a nivel L2CAP 

• Rfcomm: Gestión de conexiones RFCOMM 

• Sdptool: Gestión de SDP y descubrimiento de servicios Bluetooth 

• Proporciona librerías para el desarrollo de aplicaciones 

• bluez-libs-devel


MECANISMOS DE SEGURIDAD EN BLUETOOTH 

� AUTENTICACIÓN: es el proceso por el cual un dispositivo Bluetooth verifica su identidad en 

otro dispositivo para poder acceder a los servicios que ofrece. 

• EMPAREJAMIENTO DE DISPOSITIVOS: 

• Intercambio de PIN 

• Generación de la clave de enlace (linkkey) 

� AUTORIZACIÓN: es el procedimiento que determina los derechos que tiene un dispositivo 

Bluetooth para acceder a los servicios que ofrece un sistema. 

• Se gestiona mediante LISTA DE DISPOSITIVOS DE CONFIANZA 

• DISPOSITIVOS DE CONFIANZA: acceso sin restricciones 

• DISPOSITIVOS NO CONFIABLES: requieren autorización 

� CIFRADO DE DATOS: garantiza la confidencialidad de la 

información transmitida sobre un enlace Bluetooth 

• CLAVE DE CIFRADO


COMANDOS AT 

Los COMANDOS AT GSM son un juego de instrucciones codificadas que permiten configurar 

el teléfono móvil. 

• Basados en los comandos AT - Hayes para configuración de modems (1977) 

• Permiten establecer una configuración en el terminal y enviarle instrucciones a ejecutar 

• El soporte viene dado por el equipo, los comandos son ejecutados con independencia 

del canal de comunicaciones: Bluetooth, IrDA, Puerto Serie, … 

• En Bluetooth se accede a la capa de comandos AT a través de RFCOMM 

• Algunos ejemplos: 

• AT+CGMI: Identificación del fabricante 

• AT+CGMM: Identificación del modelo 

• AT+CPBR=1: Devuelve la primera entrada en la agenda de contactos 

• AT+CPBS=“MC”;+CPBR=1: Devuelve la última llamada perdida 

• AT+CMGR=1: Devuelve el primer mensaje SMS en bandeja de entrada 

• ATD619000000;: Realiza una llamada de voz a un número de teléfono 

• AT+CCFC=0,3,+34619000000,145,7: Configura un desvío de llamadas 

• Implementación de los comandos AT en los teléfonos se hace por bloques: 

• Bloque básico: Información y configuración del terminal, llamadas. 

• Bloque de gestión de la agenda de contactos: leer, añadir, eliminar, … 

• Bloque de gestión de mensajes SMS: leer, eliminar, enviar, …


COMANDOS AT 

• Una sesión de comandos AT sigue el modelo petición / respuesta





IDENTIFICACIÓN DE DISPOSITIVOS 

¿QUÉ SE ENTIENDE POR “IDENTIFICACIÓN”? 

La IDENTIFICACIÓN DE DISPOSITIVOS comprende el conjunto de actividades que permiten 

obtener información relevante de un dispositivo Bluetooth remoto. 

� INFORMACIÓN PÚBLICA: 

• Estado de visibilidad del dispositivo: Visible / Oculto 

• Nombre del dispositivo 

• Fabricante del chip Bluetooth 

• Naturaleza del equipo 

• Servicios ofrecidos por el dispositivo / Perfiles Bluetooth disponibles 

� INFORMACIÓN IMPLÍCITA: 

• Marca y modelo del dispositivo


INFORMACIÓN PÚBLICA DEL DISPOSITIVO (1) 

DETECCIÓN DE DISPOSITIVOS: Proceso de descubrimiento de equipos situados dentro del 

radio de cobertura de nuestro módulo Bluetooth. 

� DETECCIÓN DE DISPOSITIVOS EN MODO VISIBLE O DISCOVERABLE 

• Responsabilidad de la capa HCI 

• El equipo origen envía paquetes inquiry y se mantiene en espera 

• Los equipos destino en modo visible cambian a estado inquiry_response y envían una 

respuesta con su dirección MAC y otros parámetros 

• Los equipos destino en modo oculto nunca entran en modo inquiry_response 

� DETECCIÓN DE DISPOSITIVOS EN MODO OCULTO O NON DISCOVERABLE 

• Que no se vea no significa que no esté ahí 

• Ciertos paquetes Bluetooth obligan al dispositivo que los recibe a devolver una 

respuesta independientemente de su estado de visibilidad 

(Ejemplo: La función de resolución de nombre: hci_read_remote_name) 

• Técnica: Ataque por fuerza bruta a un rango de direcciones MAC 

- Redfang



IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO 

• Naturaleza del equipo 

• Cada dispositivo incorpora en la cabecera de nivel Banda Base de sus paquetes el 

campo Class of Device, que consta de dos subcampos: 

• MAJOR DEVICE CLASSES: identifica el tipo genérico de dispositivo 

• MINOR DEVICE CLASSES: identifica el tipo específico de dispositivo 

• Spec: https://www.bluetooth.org/foundry/assignnumb/document/baseband



EJEMPLO DE IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO 

MAJOR MINOR 

Nº bit: 23 22 21 20 19 18 17 16 15 14 13 | 12 11 10 09 08 07 | 06 05 04 03 02 | 01 00 

Valor: 0 0 1 1 0 0 1 0 0 0 0 | 0 0 0 0 1 0 | 0 0 1 0 1 |0 0 

0x320114 

representado en binario es 

001100100000000100010100



DESCUBRIMIENTO DE SERVICIOS: Capacidad de buscar y encontrar servicios disponibles 

en dispositivos Bluetooth. A través de los servicios, dos dispositivos pueden ejecutar 

aplicaciones comunes e intercambiar datos. Responsabilidad del SDP (Service Discovery 

Protocol) 

� SERVICE CLASS (Clase de servicio) 

• Describe los servicios genéricos soportados por un dispositivo 

• A través del campo Class of Service 

• Spec: https://www.bluetooth.org/foundry/assignnumb/document/baseband



� SERVICE RECORD (Registro de servicio) 

• Describe los atributos de un determinado servicio: nombre, descripción, canal, … 

• 2 tipos de operaciones SDP relacionadas con el descubrimiento de servicios: 

• Búsqueda de servicios: encontrar dispositivos que ofrecen un servicio 

• Enumeración de servicios: conocer los servicios que ofrece un dispositivo


BLUEZSCANNER 

BLUEZSCANNER es un sencillo escáner de dispositivos Bluetooth basado en BlueZ 

Se distribuye libremente bajo licencia GNU. 

Implementa las siguientes funciones: 

• Descubrimiento de dispositivos Bluetooth cercanos 

• Resolución del nombre de dispositivo 

• Fabricante del chip Bluetooth incorporado 

• Identificación de la naturaleza del equipo 

• Descubrimiento de servicios / perfiles bluetooth 

Más info: el Blog de Gospel

DEMO 1 

BLUEZSCANNER





ATAQUES A TELÉFONOS MÓVILES 

¿POR QUÉ ES IMPORTANTE CUIDAR LA SEGURIDAD? 

EL TELÉFONO MÓVIL... 

� INSTRUMENTO INDISPENSABLE DE COMUNICACIÓN CON OTRAS PERSONAS 

• Necesidad de disponibilidad en todo momento 

• Realizar / recibir llamadas 

• Enviar / recibir SMS 

� CONTIENE INFORMACIÓN CONFIDENCIAL 

• Agenda de contactos (nº de teléfonos e incluso direcciones) 

• Mensajes SMS/MMS con contenidos personales 

• Calendario de citas 

• Multimedia: fotografías, videos, grabaciones de voz, ... 

• Nuevos contenidos y mayor capacidad: emails, contraseñas almacenadas, ... 

RIESGOS 

• Consumo del saldo: llamadas de voz, GPRS, envío de SMS, ... 

• Acceso a información confidencial: lectura, modificación, borrado. 

• Inutilización temporal del terminal (Denial of Service)


TIPOS DE ATAQUES 

� BLUESNARFING: 

• Snarf: Acceso, robo, copia de ficheros de datos del teléfono móvil 

• Agenda de contactos, calendario de citas, imágenes, ... 

� EJECUCIÓN DE COMANDOS AT 

• Precedente: Ataque Bluebug 

• Comandos AT, juego de instrucciones que permiten configurar el teléfono 

• Permiten realizar llamadas, acceso a agenda de contactos y mensajes SMS, … 

• Control total del terminal, equivale a obtener una shell de comandos en un PC 

� ATAQUES DoS 

• Denial of Service (Denegación de Servicio) 

• Generalmente se deben a desbordamientos de búfer: Ping of the Death, ... 

• Inutilización temporal del teléfono: bloqueo, reinicio del terminal o cuelgue de servicios 

� SPAM / BLUEJACKING 

• Envío de archivos sin consentimiento: vCard, publicidad comercial, ... 

• Requiere autorización para recibir el archivo, se puede evitar 

• Más que un “ataque” es una molestia, si se padece en exceso


TIPOS DE ATAQUES 

1) ATAQUES A LOS PRIMEROS TELÉFONOS MÓVILES BLUETOOTH 

• Vulnerabilidades basadas en implementación incorrecta de los fabricantes 

• Ataque BLUESNARF 

• Ataque BLUEBUG 

• Ataque HELOMOTO 

2) ATAQUES A TELÉFONOS MÓVILES BLUETOOTH ACTUALES 

• No hay vulnerabilidades importantes, los fabricantes se preocupan 

• Tendencia actual: Saltarse las mecanismos de seguridad de Bluetooth 

• Ataque BLUELINE 

• Ataque BLUE MAC SPOOFING


ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUESNARF 

El ataque BLUESNARF se basa en la extracción de archivos de un teléfono móvil Bluetooth 

a través del Perfil de Carga de Objetos (OBEX Object Push) sin autorización del usuario 

propietario. 

El Perfil de Carga de Objetos (OPUSH, Object Push Profile) permite la carga y descarga de 

objetos de datos entre dispositivos Bluetooth. 

La vulnerabilidad se basa en una implementación incorrecta del Perfil de Carga de Objetos, 

que carece de mecanismos de autenticación y autorización, y que permite a un atacante 

descargarse archivos de nombre conocido, como la agenda de contactos almacenada en el 

terminal o el calendario de citas.


ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUEBUG 

BLUEBUG es una vulnerabilidad que permite a un atacante establecer una conexión RFCOMM 

a un canal oculto sin necesidad de autenticación y ejecutar comandos AT en el teléfono 

comprometido. 

Explotando esta vulnerabilidad, un atacante podría realizar las siguientes funciones: 

• Información básica: Marca, modelo, IMEI, … 

• Llamadas de voz, desvío de llamadas, … 

• Agenda de contactos: Leer, escribir, borrar, … 

• Agenda de llamadas: Últimas llamadas perdidas, recibidas o realizadas. 

• SMS: Leer bandeja de entrada, escribir y enviar, borrar, …

DEMO 2 

ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUEBUG


ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: HELOMOTO 

HELOMOTO es un ataque que sólo afecta a teléfonos móviles Motorola 

La vulnerabilidad se basa en una implementación incorrecta de la gestión de la lista de 

dispositivos de confianza. 

El ataque se desarrolla del siguiente modo: 

� El atacante inicia una conexión al Perfil de Carga de Objetos (OBEX Object Push) con la 

intención de enviar una tarjeta de visita o vCard. 

� De forma automática el dispositivo atacante es añadido a la lista de dispositivos de confianza 

del terminal, aunque la conexión no finalice con éxito. 

� Con su equipo incluido en la lista de dispositivos de confianza, el atacante puede conectarse a 

perfiles que requieran autorización, como el Perfil de Pasarela de Voz (Voice Gateway Profile). 

� Una vez establecida la conexión con el Perfil de Pasarela de Audio, el atacante puede acceder 

a la ejecución de comandos AT en el teléfono móvil.


ATAQUES A TELÉFONOS MÓVILES ACTUALES 

En los teléfonos móviles actuales la seguridad se visto mejorada notablemente: 

� Casi la totalidad de los servicios requiere autenticación. Las excepciones son algunos servicios 

en los que se omite este nivel de seguridad por comodidad del modelo de uso, como el Perfil de 

Carga de Objetos (OBEX Object Push) o el Perfil de Pasarela de Voz (Voice Gateway Profile). 

� Todos los servicios requieren autorización. Si un dispositivo no confiable intenta conectarse a 

cualquier servicio, el usuario recibirá una notificación en pantalla para que autorice dicha 

conexión explícitamente. 

� Algunos modelos, como los nuevos teléfonos móviles Motorola, deniegan automáticamente 

cualquier intento de conexión proveniente de cualquier equipo no incluido en el histórico de 

dispositivos conectados anteriormente. 

TENDENCIA ACTUAL: Intentar saltarse los mecanismos de seguridad de Bluetooth 

• Engañando al usuario para que autorice la conexión: Ataque BLUELINE 

• Suplantando a otros equipos de confianza: Ataque BLUE MAC SPOOFING


ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE 

BLUELINE es un ataque que afecta a teléfonos móviles Motorola como RAZR o PEBL 

El objetivo del ataque BLUELINE es saltarse la autorización de acceso al Perfil de Pasarela de 

Voz (Voice Gateway Profile) y poder ejecutar comandos AT en el teléfono móvil. 

En los teléfonos móviles actuales, el mecanismo de autorización exige que todo dispositivo no 

confiable sea autorizado explícitamente por el usuario para permitir el acceso a los servicios que 

requieran este nivel de seguridad.


ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE 

El ataque BLUELINE permite provocar una falsificación o spoofing del interfaz sustituyendo el 

mensaje original por un texto malicioso capaz de engañar al usuario. 

La falsificación se consigue explotando un tratamiento incorrecto del juego de caracteres en el 

sistema operativo al incluir el carácter de escape 0x0d en el nombre del dispositivo atacante. 

hciconfig hci0 name `perl -e 'print 

"Pulse\x0daceptar\x0dpara\x0ddeshabilitar\x0dsilencio\x0d\x0d"'` 

Si el usuario cae en el engaño, aceptará la conexión al Perfil de Pasarela de Voz y el atacante 

dispondrá de autorización para ejecutar comandos AT en el terminal.

DEMO 3 

ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE


ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUE MAC SPOOFING 

El ataque BLUE MAC SPOOFING permite a un atacante suplantar la identidad de un dispositivo 

de confianza para atacar un teléfono móvil y utilizar sus credenciales para acceder a servicios 

que requieren autenticación y/o autorización. 

El ataque BLUE MAC SPOOFING se puede desarrollar en dos niveles: 

• Suplantación de la dirección MAC de un 

dispositivo de confianza para acceder a 

servicios que requieren autorización. 

• Suplantación de la dirección MAC de un 

dispositivo de confianza y obtención de la 

clave de enlace (linkkey), generada durante 

el emparejamiento del dispositivo suplantado 

con el teléfono móvil, para acceder a servicios 

que requieren autenticación. 

El principal inconveniente es que los adaptadores 

Bluetooth convencionales no permiten modificar la 

dirección MAC del módulo.

DEMO 4 

ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE





MARKETING DE PROXIMIDAD 

¿ESO QUÉ ES LO QUE ES? 

Se denomina MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH al envío de 

contenidos de información y publicidad a teléfonos móviles Bluetooth. 

• Marca corporativas: Estrategia de promoción y publicidad 

• Instituciones: Envío de información en puntos de interés general 

• Se sitúan HotSpots en puntos estratégicos de elevado tránsito de personas 

• Alcance de ~100m 

• Se envían archivos a través del Perfil de Carga de Objetos (OBEX Object Push) 

• No necesita autenticación, los usuarios sólo deben autorizar el envío 

• Los objetos de información son de diversa naturaleza: 

• Archivos de texto 

• Imágenes 

• Archivos de audio y tonos 

• Videos 

• Paquetes instalables (.sis, .jar, …) 

• Algunos HotSpots inteligentes son capaces de identificar la marca y el modelo del teléfono 

objetivo y adaptar el contenido del objeto a los formatos soportados


BLUEZSPAMMER 

BLUEZSPAMMER es un sencillo HotSpot basado en BlueZ capaz de enviar archivos a 

teléfonos móviles Bluetooth con soporte para el Perfil de Carga de Objetos (OBEX Object Push) 

Se distribuye libremente bajo licencia GNU. 

Implementa las siguientes funciones: 

• Descubrimiento de dispositivos Bluetooth cercanos 

• Filtro de teléfonos móviles y smart phones 

• Modo Demo, solo descubre dispositivos susceptibles de recibir spam 

• Filtro de códigos MAC de fabricantes de chips Bluetooth 

• Envío de archivos a través del Perfil de Carga de Objetos con ObexPush 

Más info: el Blog de Gospel

DEMO 5 

BLUEZSPAMMER


PROYECTO TROYANO BLUETOOTH 

El proyecto persigue el desarrollo de una aplicación troyano para sistemas Symbian Serie s60. 

Se trata de un proyecto de desarrollo conjunto de 

� El objetivo es concienciar a la gente de que el Marketing de Proximidad puede ser utilizado 

como una estrategia de envío masivo de aplicaciones maliciosas y virus. 

� Promovemos mantener una actitud prudente a la hora de aceptar envíos a nuestro teléfono 

móvil provenientes de fuentes desconocidas, aunque en apariencia parezcan de confianza. 

� El proyecto será una Prueba de Concepto, con el fin de demostrar que se podría desarrollar 

una aplicación con interfaz amigable pero que por debajo ejecute acciones maliciosas que 

perjudiquen al usuario. 

� La plataforma de desarrollo será Symbian C++ para teléfonos móviles Serie s60, muy 

extendidos.


PROYECTO TROYANO BLUETOOTH 

� El interfaz de la aplicación troyano mostrará contenidos de ocio y publicidad de una 

importante marca corporativa. 

� La acción maliciosa consistirá en: 

• Añadir a la lista de dispositivos emparejados en el teléfono móvil objetivo una dirección 

MAC predefinida 

• Especificar una clave de enlace predefinida 

• Marcar esa dirección MAC como dispositivo de confianza 

� Si la acción se lleva a cabo con éxito, el atacante podrá utilizar la dirección MAC y clave de 

enlace predeterminadas para acceder a servicios del teléfono móvil comprometido sin 

necesidad de autenticación o autorización. 

Advertencias: 

• El desarrollo de la aplicación troyano se realizará con fines didácticos y éticos. 

• No se publicará el código fuente de la aplicación, pero sí que se liberará una versión de 

Prueba de Concepto capada.

CONCLUSIONES 

� Bluetooth es un estándar de comunicaciones robusto y seguro. 

� Las fallas de seguridad se encuentran en la implementación de los fabricantes en los 

productos que comercializan. 

� Con el tiempo, la seguridad mejora y resulta más difícil encontrar vulnerabilidades. 

� En caso de encontrar vulnerabilidades, el impacto es muy grande ya que es complicado 

proteger los dispositivos Bluetooth mediante parches de actualización. 

� RECOMENDACIONES DE SEGURIDAD: 

• Desactivar Bluetooth mientras no se utilice 

• Configurar el dispositivo en modo oculto, para que no pueda ser descubierto por 

atacantes 

• No aceptar conexiones de dispositivos no conocidos

LINKS 

� el Blog de Gospel 

http://gospel.endorasoft.es 

� Bluehack: the Spanish Bluetooth Security Group 

http://bluehack.endorasoft.es 

� Foro de Bluetooth en elhacker.net 

http://foro.elhacker.net 

� Trifinite Group 

http://trifinite.org 

� Digital Munition 

http://www.digitalmunition.com 

� BlueZ: la pila de protocolos Bluetooth oficial para Linux 

http://www.bluez.org

DUDAS 

¿?

HACKING BLUETOOTH - Seguridad Mobile

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?