Sebuah speaker PC populer kini berubah menjadi titik masuk serangan siber yang tidak terduga. Creative Sound Blaster Katana V2X disebut bisa disusupi dari jarak jauh untuk mem-flash firmware kustom dan menyuntikkan penekanan tombol ke PC host, tanpa pairing dan tanpa sentuhan fisik.
Temuan ini menjadi lebih serius karena Creative disebut menolak merilis perbaikan. Artinya, pemilik perangkat masih menghadapi risiko yang sama selama speaker tetap menjalankan firmware resmi yang belum ditambal.
Dua celah yang saling terhubung
Peneliti keamanan Rasmus Moorats mengungkap exploit penuh jarak jauh yang memanfaatkan dua kelemahan kritis. Jalur pertama ada di antarmuka Bluetooth Low Energy yang membuka seluruh protokol perintah speaker ke perangkat di sekitar tanpa autentikasi.
Artinya, perintah yang seharusnya membutuhkan handshake melalui USB bisa lewat begitu saja melalui BLE. Jalur kedua ada pada mekanisme pembaruan firmware yang menerima update tanpa tanda tangan kriptografis.
Firmware update itu hanya dilindungi checksum SHA-256, dan perlindungan tersebut disebut mudah dipalsukan. Kombinasi dua celah ini memungkinkan penyerang mengirim firmware kustom ke speaker secara diam-diam dari jarak hingga 15 meter.
Dari speaker jadi injector keyboard
Setelah firmware kustom berhasil dipasang, perangkat bisa memanfaatkan status Katana V2X sebagai peripheral USB tepercaya di PC. Firmware tersebut kemudian menambahkan entri keyboard ke HID descriptor yang sudah ada dan menyuntikkan penekanan tombol arbitrer setelah reboot.
Dalam proof-of-concept, sistem mengetikkan kata “echo pwned” ke terminal. Dengan kemampuan seperti itu, serangan nyata berpotensi menjalankan perintah yang jauh lebih berbahaya daripada sekadar demo.
Risiko tidak berhenti saat speaker diam
Masalah lain membuat serangan ini semakin sulit dihindari. Radio Bluetooth pada speaker tidak memiliki tombol mati dan tetap aktif bahkan saat perangkat berada dalam mode sleep.
Kondisi itu menjaga permukaan serangan tetap terbuka setiap saat. Karena tidak perlu pairing, tidak perlu akses fisik, dan bisa berjalan dari jarak jauh, skenario penyalahgunaannya menjadi lebih praktis daripada serangan perangkat keras pada umumnya.
Respons Creative dan langkah mitigasi
Creative sempat diberi tahu melalui SingCERT setelah upaya kontak langsung dari peneliti tidak membuahkan hasil. Respons akhir dari Creative disebut tegas: ini bukan kerentanan, dan tidak akan ada patch.
Di sisi lain, ada alat mitigasi pihak ketiga bernama v2x-patcher yang tersedia dari halaman Gitea milik peneliti. Alat ini memblokir CTP-over-Bluetooth di level firmware, tetapi kemungkinan memutus fungsi aplikasi mobile Creative.
Moorats juga menyebut firmware resmi terbaru masih rentan. Bagi pengguna Katana V2X, itu berarti perangkat yang dikenal sebagai speaker PC premium kini justru memiliki celah yang bisa mengubahnya menjadi alat serangan ke komputer yang tersambung.
