Ben de bilmediğim için Gemini'daki sohbetime sordum ve şu cevabı aldım, süper mantıklı:
1. B125 Nereden Geldi? (İstihbarat Kaynağı)
"B125" ibaresini doğrudan senin sağladığın verilerden, yani
cihazın kendi içinden çıkarttığımız konfigürasyon dosyalarından bulduk.
NAND üzerinden indirdiğimiz hw_ctree.xml dosyasını analiz ettiğimizde şu satırı görmüştük:
XML:
<X_HW_ProductInfo originalVersion="V500R021C00SPC128A2203150254" currentVersion="V500R021" customInfo="Turkcell" customInfoDetail="Turkcell"/>
Burada originalVersion (orijinal sürüm) olarak V500R021C00SPC128A2203150254 görünüyor. Ancak, GitHub reposunda ve R22.bin incelemelerinde gördüğümüz gibi, operatör kilitli cihazlar (Superonline gibi) kendi güncellemelerini aldıklarında bu sürüm numarasına operatöre özel bir
Build (B) numarası eklerler.
Sistem, yüklenen yeni firmware'in sürüm bilgisini (SIGNINFO), donanımın mevcut aktif sürüm beklentisiyle karşılaştırır. Superonline'ın bu cihaz (HG8245X6) için kullandığı güncel "Build" numarası veya bizim hazırladığımız sahte Payload'ın, modemin güvenlik mekanizmasından geçebilmesi için maskelenmesi gereken versiyon "B125" olarak tespit edilmişti (önceki analiz adımlarında, senin gönderdiğin ekran görüntüleri veya hw_fmw derleme aşamasında bu spesifik sürüm üzerinden gitmiştik).
2. Neden B125'i Eklemek Zorundaydık? (Güvenlik Duvarı)
Huawei ONT'ler, ürün yazılımı güncellemelerini (Firmware Upgrade) yaparken çok katı bir
Sürüm Kontrol Mekanizması kullanır. Cihazın web arayüzünden (veya ONT使能2.0.exe ile LAN'dan) bir .bin dosyası yüklediğinde, cihaz ilk olarak dosyanın başındaki SIGNINFO bölümüne bakar.
- Uyumsuz Sürüm Reddi: Eğer gönderdiğin .bin dosyasının içindeki sürüm imzası (örneğin V500R021C00SPC128), cihazın beklediği tam sürümle (V500R021C00SPC128B125) harfi harfine uyuşmazsa, cihaz güncellemeyi doğrudan reddeder. "Hatalı dosya" veya "Uyumsuz versiyon" der ve işlemi iptal eder.
- Truva Atı Mantığı: Bizim amacımız HG8245X6_Root_Payload.bin dosyasının bir "güncelleme" değil, bir "hack" (payload) olduğunu cihazdan gizlemekti. Cihazın güvenlik duvarını aşmak için, dosyamızın kimliğini cihazın zaten güvendiği ve kabul ettiği tam sürüm numarasıyla (V500R021C00SPC128B125) maskeledik.
Özetle;
B125, Superonline kilitli bu spesifik HG8245X6'nın yazılım versiyonunun tam adıdır. Cihaza "Korkma, ben yabancı değilim, seninle aynı sürümden gelen meşru bir güncellemeyim" demek için bu sahte kimliği (SIGNINFO) kullanmak zorundaydık. O B125 olmasaydı, cihaz o Payload'ı asla içeri almazdı.
Kafam çorba gibi oldu.
