Insiden pembobolan komputer melalui manipulasi perangkat keras (hardware hacking) umumnya melibatkan alat spionase yang kompleks. Namun, sebuah temuan terbaru mendobrak batasan tersebut. Sebuah soundbar yang secara fungsional murni ditujukan untuk memutar audio kini terbukti dapat dipersenjatai menjadi jembatan nirkabel untuk mengambil alih sistem PC tanpa memerlukan proses penyandingan (pairing) sama sekali.

Peneliti keamanan siber, Rasmus Moorats, mengungkap rantai kerentanan fatal pada Creative Sound Blaster Katana V2X, sebuah soundbar kelas menengah yang lazim terhubung ke PC, Mac, atau mesin Linux melalui antarmuka USB maupun Bluetooth.

Baca Juga: Ledakan Phishing Berbasis AI Lumpuhkan Analis SOC, Otomatisasi Triage Jadi Solusi Mutlak

Alih-alih meretas jaringan Wi-Fi, Moorats menemukan cara elegan namun mematikan untuk membidik komputer target secara fisik dari jarak dekat. Eksploitasi ini berjalan melalui tiga fase kerentanan yang berantai:

1. Manipulasi Protokol Komunikasi Tanpa Autentikasi Akar kerentanan berada pada Creative Transport Protocol(CTP), sebuah lapisan komunikasi eksklusif yang mengatur fungsi pencahayaan (RGB) dan ekualiser suara. Moorats menemukan bahwa protokol ini sama sekali tidak memiliki dinding pembatas. Perangkat Bluetooth apa pun yang berada dalam radius jangkauan dapat langsung terhubung ke soundbar dan mengirimkan perintah sistem tanpa harus melewati autentikasi atau persetujuan penyandingan (pairing).
2. Pengambilalihan via Firmware Bodong (Missing Code Signing) Setelah jalur komunikasi terbuka, peretas dapat mengeksploitasi sistem pembaruan firmware OTA (Over-the-Air) milik soundbar tersebut. Sangat disayangkan, proses pembaruan ini tidak memiliki validasi keamanan maupun code signing (tanda tangan kriptografi). Moorats berhasil membuktikan bahwa ia dapat mengunggah dan menginstal firmware jahat modifikasinya secara nirkabel ke dalam sistem soundbar.
3. Serangan HID Spoofing (Keyboard Hantu) Soundbar Creative Katana V2X ditenagai oleh sistem operasi tertanam (embedded OS) FreeRTOS. Sistem ini memiliki dukungan bawaan untuk Human Interface Device (HID)—protokol USB yang sama persis dengan yang digunakan oleh keyboard dan mouse. Dengan firmware jahat yang telah terinstal, soundbarakan melakukan reboot dan menipu PC korban agar mengenalinya sebagai sebuah keyboard. Dari titik ini, soundbar dapat "mengetik" secara gaib, membuka terminal PowerShell, dan mengeksekusi skrip perusak atau mengunci sistem secara diam-diam.

Secara teknis, serangan ini mewajibkan pelaku berada dalam jangkauan Bluetooth (seperti tetangga apartemen, rekan sekantor, atau tamu di lobi). Namun, ancaman ini bersifat persisten karena modul Bluetooth pada soundbar tetap aktif menyiarkan sinyal meskipun perangkat dalam mode tidur (sleep mode).

Ironisnya, ketika Moorats melaporkan temuan ini kepada pihak Creative Technology—yang akhirnya harus dijembatani oleh Badan Siber Singapura (CERT SG) karena pihak vendor sempat bungkam—respons yang didapat sangat mengecewakan. Tim teknisi Creative secara resmi menyatakan bahwa mereka tidak menganggap perilaku perangkat ini sebagai sebuah kerentanan (vulnerability).

Kasus Creative Katana V2X adalah manifestasi sempurna dari ancaman Shadow IoT dan kegagalan keamanan rantai pasok (supply chain security). Di lingkungan korporat, tim TI mungkin mengamankan PC dengan antivirus terbaik, namun mereka sering kali mengabaikan periferal USB yang dibawa oleh karyawan.

Analisis Taktis Fourtrezz terhadap Insiden Ini:

1. Kegagalan Dasar IoT (Missing Code Signing): Ketiadaan code signing pada perangkat keras modern adalah kelalaian yang tidak dapat dimaafkan. Vendor periferal mengorbankan keamanan demi kenyamanan konektivitas plug-and-play.
2. Ancaman Eksekusi Berbasis Perangkat Keras (Hardware-based Execution): Serangan HID Spoofing (seperti Rubber Ducky) sangat sulit dideteksi oleh Endpoint Detection and Response (EDR) tradisional karena sistem operasi PC mempercayai keyboard secara mutlak.
3. Kebijakan Zero-Trust untuk Periferal: Perusahaan harus menerapkan kontrol perangkat keras (Device Control Policies) yang ketat. PC kantor harus dikonfigurasi untuk memblokir pendaftaran perangkat HID baru tanpa persetujuan eksplisit dari administrator, terlepas dari apakah itu sebuah keyboard baru atau sebuah soundbar.

Response penolakan (denial) dari vendor menegaskan bahwa pengguna dan organisasi harus mengambil inisiatif pertahanan secara mandiri. Jangan pernah mempercayai perangkat hanya berdasarkan fungsinya.