A story of WiFi secrets, UART lockdowns and a damaged flash memory chip

The Fellowship returns with a new write-up on the Eufy ecosystem, this time dissecting the Eufy Home Base 2. The researchers chose this model over the Homebase3 because it was the version deployed in their city and the easiest to buy. The analysis covers firmware version 3.4.2.2h, and readers are urged to read the earlier article on the doorbell first.

The work is split into four parts: firmware extraction, identifying the Wi-Fi credential generation algorithm for the OCEAN_XXXXXX management network, bypassing the UART lockdown by reflashing a backdoored U-Boot image, and adjusting the filesystem so the main binary can run on the recovery image. The author notes that this was their first time working on hardware, having previously focused on downloading firmware from the internet for vulnerability hunting.

Extraction proved difficult. Unlike the doorbell, the Winbond 25Q256JWEQ flash chip on the Homebase was soldered directly to the board with no test pins. Clipping onto it with spring clips and rubber bands produced three different checksums, showing the dumps were unusable, because powering the chip also activated other components. The team therefore desoldered the chip, with a relative of the author doing the work, and read it off-board using a Raspberry Pi's SPI0 interface.

The off-board reads produced consistent checksums and usable data. However, one 64 KB block was erased or unreadable, probably damage caused during desoldering. Binwalk still extracted most of the firmware, allowing analysis to continue despite the loss.

تعود Fellowship بتقرير جديد عن منظومة Eufy، يتناول هذه المرة جهاز Eufy Home Base 2. اختار الباحثون هذا الطراز بدلاً من Homebase3 لأنه الإصدار المنتشر في مدينتهم وهو الأسهل في الشراء. يغطي التحليل إصدار البرنامج الثابت 3.4.2.2h، وينصح الكاتب القراء بقراءة المقال السابق عن جرس الباب أولاً.

ينقسم العمل إلى أربعة أجزاء: استخراج البرنامج الثابت، وتحديد خوارزمية توليد بيانات اعتماد Wi-Fi لشبكة الإدارة OCEAN_XXXXXX، وتجاوز قفل UART عبر إعادة كتابة صورة U-Boot تحتوي على باب خلفي، وتعديل نظام الملفات بحيث يتمكن الملف الثنائي الرئيسي من العمل على صورة الاستعادة. ويذكر الكاتب أن هذه كانت المرة الأولى التي يعمل فيها على الأجهزة، إذ كان يركز سابقاً على تنزيل البرامج الثابتة من الإنترنت للبحث عن الثغرات.

كان الاستخراج صعباً. فعلى خلاف جرس الباب، كانت شريحة الذاكرة Winbond 25Q256JWEQ في Homebase ملحومة مباشرة على اللوحة دون نقاط اختبار. وأدى توصيل مشابك نابضية وأربطة مطاطية إلى الحصول على ثلاثة مجاميع اختبار مختلفة، ما يدل على أن النسخ غير صالحة، لأن تغذية الشريحة كانت تُنشّط مكونات أخرى على اللوحة. لذلك لحم الفريق الشريحة (وقام بالعمل أحد أقارب الكاتب) وقرأها خارج اللوحة باستخدام واجهة SPI0 في Raspberry Pi.

أنتجت القراءات خارج اللوحة مجاميع اختبار متسقة وبيانات قابلة للاستخدام. ومع ذلك، كانت كتلة بحجم 64 كيلوبايت قد مُسحت أو تعذرت قراءتها، والأرجح أن ذلك حدث بسبب تلف أثناء فك اللحام. ومع ذلك تمكنت أداة Binwalk من استخراج معظم البرنامج الثابت، ما أتاح متابعة التحليل رغم الخسارة.

Fellowship এবার Eufy ইকোসিস্টেম নিয়ে নতুন একটি প্রতিবেদন নিয়ে ফিরেছে, যেখানে Eufy Home Base 2 বিশ্লেষণ করা হয়েছে। গবেষকরা Homebase3-এর বদলে এই মডেলটি বেছে নিয়েছিলেন, কারণ তাদের শহরে এটিই ব্যবহৃত হচ্ছিল এবং কেনা ছিল সবচেয়ে সহজ। বিশ্লেষণটি ফার্মওয়্যার সংস্করণ 3.4.2.2h-এর উপর ভিত্তি করে, আর পাঠকদের অনুরোধ করা হয়েছে আগে ডোরবেল নিয়ে আগের নিবন্ধটি পড়ে নিতে।

কাজটি চারটি অংশে ভাগ করা: ফার্মওয়্যার নিষ্কাশন; OCEAN_XXXXXX ম্যানেজমেন্ট নেটওয়ার্কের জন্য Wi-Fi ক্রেডেনশিয়াল তৈরির অ্যালগরিদম শনাক্তকরণ; ব্যাকডোরযুক্ত U-Boot ইমেজ পুনরায় ফ্ল্যাশ করে UART লক বাইপাস; এবং ফাইলসিস্টেম সমন্বয় করা যাতে মূল বাইনারি রিকভারি ইমেজে চালানো যায়। লেখক জানান, হার্ডওয়্যারে এটাই তাঁর প্রথম কাজ, আগে তিনি দুর্বলতা খুঁজতে ইন্টারনেট থেকে ফার্মওয়্যার ডাউনলোড করে কাজ করতেন।

নিষ্কাশন কঠিন প্রমাণিত হয়। ডোরবেলের মতো নয়, Homebase-এর Winbond 25Q256JWEQ ফ্ল্যাশ চিপটি সরাসরি বোর্ডে সোল্ডার করা ছিল এবং এতে কোনো টেস্ট পিন ছিল না। স্প্রিং ক্লিপ ও রাবার ব্যান্ড দিয়ে পড়তে গিয়ে তিনটি আলাদা চেকসাম পাওয়া গেল, যা থেকে বোঝা যায় ডাম্পগুলো ব্যবহারের অযোগ্য, কারণ চিপে পাওয়ার দিলে বোর্ডের অন্য উপাদানগুলোও সক্রিয় হয়ে যাচ্ছিল। তাই দলটি চিপটি ডিসোল্ডার করে (কাজটি করেন লেখকের এক আত্মীয়) এবং Raspberry Pi-এর SPI0 ইন্টারফেস ব্যবহার করে বোর্ড থেকে আলাদাভাবে পড়ে।

বোর্ডের বাইরে পড়ায় সামঞ্জস্যপূর্ণ চেকসাম ও ব্যবহারযোগ্য ডেটা পাওয়া গেল। তবে একটি 64 KB ব্লক মুছে গিয়েছিল বা পড়া যায়নি, সম্ভবত ডিসোল্ডারিংয়ের সময় ক্ষতিগ্রস্ত হওয়ার কারণে। তবু Binwalk বেশিরভাগ ফার্মওয়্যার বের করতে সক্ষম হয়, ফলে এই ক্ষতি সত্ত্বেও বিশ্লেষণ চালিয়ে যাওয়া সম্ভব হয়।

Die Fellowship meldet sich mit einem neuen Bericht zum Eufy-Ökosystem zurück, diesmal mit einer Analyse der Eufy Home Base 2. Die Forscher entschieden sich für dieses Modell statt für die Homebase3, weil es in ihrer Stadt installiert war und sich am einfachsten beschaffen ließ. Die Analyse bezieht sich auf die Firmware-Version 3.4.2.2h, und Leser werden gebeten, zuerst den vorherigen Artikel über die Türklingel zu lesen.

Die Arbeit gliedert sich in vier Teile: die Extraktion der Firmware, die Ermittlung des Algorithmus zur Erzeugung der WLAN-Zugangsdaten für das Verwaltungsnetzwerk OCEAN_XXXXXX, die Umgehung der UART-Sperre durch das Neuflashen eines manipulierten U-Boot-Images und die Anpassung des Dateisystems, damit das Hauptprogramm auf dem Wiederherstellungsimage laufen kann. Der Autor merkt an, dass dies seine erste Arbeit mit Hardware war, denn bisher hatte er sich auf die Suche nach Schwachstellen in aus dem Internet heruntergeladenen Firmwares konzentriert.

Die Extraktion erwies sich als schwierig. Anders als bei der Türklingel war der Flash-Speicherchip Winbond 25Q256JWEQ der Homebase direkt auf die Platine gelötet und hatte keine Testpunkte. Das Anklemmen mit Federklemmen und Gummibändern lieferte drei unterschiedliche Prüfsummen, was zeigte, dass die Abbilder unbrauchbar waren, weil die Stromversorgung des Chips auch andere Bauteile auf der Platine aktivierte. Das Team entlötete den Chip daher (die Arbeit übernahm ein Verwandter des Autors) und las ihn außerhalb der Platine über die SPI0-Schnittstelle eines Raspberry Pi aus.

Die Auslesung außerhalb der Platine ergab übereinstimmende Prüfsummen und verwertbare Daten. Allerdings war ein 64-KB-Block gelöscht oder nicht lesbar, vermutlich durch Schäden beim Entlöten. Dennoch konnte Binwalk den größten Teil der Firmware extrahieren, sodass die Analyse trotz des Verlusts fortgesetzt werden konnte.

La Fellowship regresa con un nuevo informe sobre el ecosistema Eufy, esta vez diseccionando la Eufy Home Base 2. Los investigadores eligieron este modelo en lugar del Homebase3 porque era la versión desplegada en su ciudad y la más fácil de comprar. El análisis abarca la versión de firmware 3.4.2.2h, y se recomienda a los lectores leer antes el artículo anterior sobre el timbre.

El trabajo se divide en cuatro partes: extracción del firmware, identificación del algoritmo de generación de credenciales Wi-Fi para la red de gestión OCEAN_XXXXXX, eludir el bloqueo UART reflasheando una imagen U-Boot con puerta trasera, y ajustar el sistema de archivos para que el binario principal pueda ejecutarse en la imagen de recuperación. El autor señala que era la primera vez que trabajaba con hardware, ya que antes se había centrado en descargar firmware de internet para buscar vulnerabilidades.

La extracción resultó difícil. A diferencia del timbre, el chip de memoria flash Winbond 25Q256JWEQ del Homebase estaba soldado directamente a la placa y no tenía puntos de prueba. Al conectar pinzas de resorte y gomas elásticas se obtuvieron tres sumas de verificación distintas, lo que demostraba que los volcados eran inservibles, porque al alimentar el chip también se activaban otros componentes. Por ello, el equipo desoldó el chip —trabajo que realizó un familiar del autor— y lo leyó fuera de la placa usando la interfaz SPI0 de una Raspberry Pi.

Las lecturas fuera de la placa produjeron sumas de verificación coherentes y datos utilizables. Sin embargo, un bloque de 64 KB quedó borrado o no pudo leerse, probablemente por daños durante la desoldadura. Aun así, Binwalk extrajo la mayor parte del firmware, lo que permitió continuar el análisis a pesar de la pérdida.

La Fellowship revient avec une nouvelle analyse de l'écosystème Eufy, cette fois consacrée à l'Eufy Home Base 2. Les chercheurs ont choisi ce modèle plutôt que le Homebase3 parce qu'il était celui déployé dans leur ville et le plus facile à acheter. L'analyse porte sur la version de firmware 3.4.2.2h, et les lecteurs sont invités à lire d'abord l'article précédent consacré à la sonnette.

Le travail se divise en quatre parties : l'extraction du firmware, l'identification de l'algorithme de génération des identifiants Wi-Fi du réseau de gestion OCEAN_XXXXXX, le contournement du verrouillage UART en reflashant une image U-Boot piégée, et l'adaptation du système de fichiers afin que le binaire principal puisse fonctionner sur l'image de récupération. L'auteur précise que c'était sa première expérience matérielle, lui qui s'était jusque-là concentré sur le téléchargement de firmwares sur Internet pour chercher des vulnérabilités.

L'extraction s'est révélée difficile. Contrairement à la sonnette, la puce mémoire Winbond 25Q256JWEQ du Homebase était soudée directement sur la carte, sans points de test. Le branchement de pinces à ressort et l'utilisation d'élastiques ont produit trois sommes de contrôle différentes, signe que les dumps étaient inutilisables, car l'alimentation de la puce activait aussi d'autres composants de la carte. L'équipe a donc dessoudé la puce (travail réalisé par un proche de l'auteur) et l'a lue hors carte à l'aide de l'interface SPI0 d'un Raspberry Pi.

Les lectures hors carte ont donné des sommes de contrôle cohérentes et des données exploitables. Cependant, un bloc de 64 Ko était effacé ou illisible, probablement endommagé lors du dessoudage. Binwalk a néanmoins extrait la majeure partie du firmware, ce qui a permis de poursuivre l'analyse malgré cette perte.

Fellowship एक नई रिपोर्ट के साथ लौटी है, जो Eufy इकोसिस्टम पर केंद्रित है और इस बार Eufy Home Base 2 का विश्लेषण करती है। शोधकर्ताओं ने Homebase3 के बजाय इस मॉडल को चुना क्योंकि यह उनके शहर में लगा हुआ था और खरीदना सबसे आसान था। विश्लेषण फ़र्मवेयर संस्करण 3.4.2.2h पर आधारित है, और पाठकों से आग्रह है कि पहले डोरबेल वाला पिछला लेख पढ़ें।

यह काम चार भागों में बँटा है: फ़र्मवेयर निष्कर्षण; OCEAN_XXXXXX प्रबंधन नेटवर्क के लिए Wi-Fi क्रेडेंशियल जनरेशन एल्गोरिदम की पहचान; बैकडोर वाली U-Boot इमेज को फ़्लैश करके UART लॉकडाउन को बायपास करना; और फ़ाइल सिस्टम में बदलाव करना ताकि मुख्य बाइनरी रिकवरी इमेज पर चल सके। लेखक ने बताया कि हार्डवेयर पर उनका यह पहला काम था, इससे पहले वे कमज़ोरियाँ खोजने के लिए इंटरनेट से फ़र्मवेयर डाउनलोड करके काम करते थे।

निष्कर्षण कठिन साबित हुआ। डोरबेल के विपरीत, Homebase की Winbond 25Q256JWEQ फ़्लैश चिप सीधे बोर्ड पर सोल्डर थी और उसमें कोई टेस्ट पिन नहीं था। स्प्रिंग क्लिप और रबर बैंड से जोड़कर पढ़ने पर तीन अलग-अलग चेकसम आए, जिससे पता चला कि डंप बेकार हैं, क्योंकि चिप को पावर देने से बोर्ड के अन्य हिस्से भी सक्रिय हो जाते थे। इसलिए टीम ने चिप को डिसोल्डर किया (यह काम लेखक के एक रिश्तेदार ने किया) और Raspberry Pi के SPI0 इंटरफ़ेस से उसे बोर्ड से बाहर पढ़ा।

बोर्ड से बाहर की गई रीडिंग में एक जैसे चेकसम और उपयोगी डेटा मिला। फिर भी 64 KB का एक ब्लॉक मिटा हुआ या अपठनीय था, संभवतः डिसोल्डरिंग के दौरान हुए नुकसान के कारण। फिर भी Binwalk ने अधिकांश फ़र्मवेयर निकाल लिया, जिससे नुकसान के बावजूद विश्लेषण जारी रह सका।

Fellowship kembali dengan laporan baru tentang ekosistem Eufy, kali ini membedah Eufy Home Base 2. Para peneliti memilih model ini dibanding Homebase3 karena inilah versi yang terpasang di kota mereka dan paling mudah dibeli. Analisisnya mencakup firmware versi 3.4.2.2h, dan pembaca dianjurkan membaca artikel sebelumnya tentang bel pintu terlebih dahulu.

Pekerjaan ini terbagi menjadi empat bagian: ekstraksi firmware, identifikasi algoritma pembuatan kredensial Wi-Fi untuk jaringan manajemen OCEAN_XXXXXX, melewati kunci UART dengan mem-flash ulang citra U-Boot yang berbackdoor, serta penyesuaian sistem berkas agar binary utama dapat berjalan pada citra pemulihan. Penulis mencatat ini pertama kalinya ia bekerja dengan perangkat keras, sebelumnya ia biasa mencari celah keamanan pada firmware yang diunduh dari internet.

Ekstraksi terbukti sulit. Tidak seperti bel pintu, chip memori flash Winbond 25Q256JWEQ pada Homebase disolder langsung ke papan dan tidak memiliki pin uji. Menjepitnya dengan klem pegas dan karet gelang menghasilkan tiga checksum berbeda, menandakan dump tidak dapat dipakai, karena daya yang diberikan ke chip juga mengaktifkan komponen lain di papan. Karena itu, tim melepas solder chip (pekerjaan ini dilakukan oleh kerabat penulis) dan membacanya di luar papan menggunakan antarmuka SPI0 Raspberry Pi.

Pembacaan di luar papan menghasilkan checksum yang konsisten dan data yang dapat digunakan. Namun, satu blok 64 KB terhapus atau tidak dapat dibaca, kemungkinan rusak saat proses pelepasan solder. Meski demikian, Binwalk tetap berhasil mengekstrak sebagian besar firmware, sehingga analisis dapat dilanjutkan meskipun ada data yang hilang.

Fellowshipが、Eufyエコシステムに関する新たな報告で帰ってきました。今回の対象はEufy Home Base 2です。研究者たちがHomebase3ではなくこのモデルを選んだのは、自分たちの街に導入されていたバージョンであり、最も入手しやすかったためです。分析対象はファームウェアバージョン3.4.2.2hで、読者には先にドアベルに関する前回の記事を読むよう勧められています。

作業は四つの部分に分かれています。ファームウェアの抽出、OCEAN_XXXXXX管理ネットワーク用のWi-Fi認証情報生成アルゴリズムの特定、バックドア付きU-Bootイメージの書き換えによるUARTロックの回避、そしてリカバリーイメージ上でメインのバイナリを動かすためのファイルシステムの調整です。著者は、これまでインターネットからダウンロードしたファームウェアで脆弱性を探してきたため、ハードウェアを扱うのはこれが初めてだと述べています。

抽出は困難でした。ドアベルとは異なり、HomebaseのWinbond 25Q256JWEQフラッシュチップは基板に直接はんだ付けされ、テストピンもありませんでした。スプリングクリップとゴムバンドで接続して読み出したところ、三回とも異なるチェックサムが得られ、ダンプが使い物にならないことがわかりました。チップに電源を入れると、基板上の他の部品も動作してしまうためです。そこでチップを取り外し（作業は著者の親族が担当）、Raspberry PiのSPI0インターフェースを使って基板から切り離した状態で読み出しました。

基板外での読み出しでは一致するチェックサムと使えるデータが得られました。ただし、64 KBのブロックが消去されているか読み出せず、取り外しの際に損傷したと考えられます。それでもBinwalkによってファームウェアの大部分を抽出でき、その欠損があっても分析を続けることができました。

A Fellowship volta com um novo relato sobre o ecossistema Eufy, desta vez dissecando o Eufy Home Base 2. Os pesquisadores escolheram esse modelo em vez do Homebase3 porque era a versão implantada em sua cidade e a mais fácil de comprar. A análise abrange a versão de firmware 3.4.2.2h, e os leitores são incentivados a ler primeiro o artigo anterior sobre a campainha.

O trabalho está dividido em quatro partes: extração do firmware, identificação do algoritmo de geração de credenciais Wi-Fi da rede de gerenciamento OCEAN_XXXXXX, contorno do bloqueio UART regravando uma imagem U-Boot com backdoor e ajuste do sistema de arquivos para que o binário principal possa rodar na imagem de recuperação. O autor observa que era sua primeira vez trabalhando com hardware, já que antes se dedicava a baixar firmwares da internet para buscar vulnerabilidades.

A extração foi difícil. Diferente da campainha, o chip de memória flash Winbond 25Q256JWEQ do Homebase estava soldado diretamente na placa e não tinha pontos de teste. Prender pinças de mola com elásticos produziu três somas de verificação diferentes, indicando que os dumps eram inutilizáveis, pois alimentar o chip também ativava outros componentes da placa. Por isso, a equipe dessoldou o chip (trabalho feito por um parente do autor) e o leu fora da placa usando a interface SPI0 de um Raspberry Pi.

As leituras fora da placa geraram somas de verificação consistentes e dados utilizáveis. No entanto, um bloco de 64 KB foi apagado ou não pôde ser lido, provavelmente por dano durante a dessoldagem. Ainda assim, o Binwalk extraiu a maior parte do firmware, permitindo que a análise continuasse apesar da perda.

Fellowship возвращается с новым материалом об экосистеме Eufy, на этот раз разбирая Eufy Home Base 2. Исследователи выбрали эту модель, а не Homebase3, потому что именно она была установлена в их городе и её было проще всего купить. Анализ охватывает версию прошивки 3.4.2.2h, и читателям рекомендуется сначала прочитать предыдущую статью о дверном звонке.

Работа делится на четыре части: извлечение прошивки, определение алгоритма генерации Wi-Fi-учетных данных для управляющей сети OCEAN_XXXXXX, обход блокировки UART путем перепрошивки U-Boot с бэкдором и корректировка файловой системы, чтобы основной бинарный файл мог работать на образе восстановления. Автор отмечает, что это была его первая работа с железом, а раньше он занимался поиском уязвимостей в прошивках, скачанных из интернета.

Извлечение оказалось трудным. В отличие от дверного звонка, flash-чип Winbond 25Q256JWEQ в Homebase был припаян прямо к плате и не имел тестовых контактов. Прижим пружинными клипсами и резинками дал три разные контрольные суммы, что означало непригодность дампов: питание чипа активировало и другие компоненты платы. Поэтому команда демонтировала чип (эту работу выполнил родственник автора) и считала его вне платы через интерфейс SPI0 Raspberry Pi.

Чтение вне платы дало совпадающие контрольные суммы и пригодные данные. Однако один блок 64 КБ был стерт или не читался, вероятно, из-за повреждения при демонтаже. Тем не менее Binwalk извлек большую часть прошивки, и анализ смог продолжиться несмотря на потерю.

"Fellowship"团队带来了关于Eufy生态系统的新研究报告,这次剖析的对象是Eufy Home Base 2。研究人员选择这一型号而非Homebase3,是因为它是他们所在城市部署的版本,也是最容易购买到的。分析针对的是固件版本3.4.2.2h,作者建议读者先阅读此前关于门铃的文章。

本文分为四个部分:固件提取;识别OCEAN_XXXXXX管理网络Wi-Fi凭证的生成算法;通过刷写带后门的U-Boot镜像绕过UART锁定;以及调整文件系统,使主程序能够在恢复镜像上运行。作者指出,这是他们第一次接触硬件,此前主要是从互联网下载固件进行漏洞挖掘。

固件提取过程颇为艰难。与门铃不同,Homebase上的Winbond 25Q256JWEQ闪存芯片直接焊接在电路板上,没有测试引脚。研究人员用弹簧夹和橡皮筋夹住芯片进行读取,得到了三个不同的校验和,说明数据不可用,原因是为芯片供电时也会激活板上的其他元件。因此,团队对芯片进行了拆焊,由作者的一位亲属完成这项工作,然后使用树莓派的SPI0接口进行离板读取。

离板读取得到了一致的校验和和可用的数据。不过,有一个64 KB的数据块被擦除或无法读取,很可能是拆焊过程中造成的损坏。尽管如此,Binwalk仍然提取出了大部分固件,使分析得以继续进行。