IKKO Activebuds "AI 기반" 이어버드 취약점 악용 사례

3 days ago 4

IKKO Activebuds는 Android 기반으로 동작하며 ChatGPT API를 내장하고 있음
기기에서 ADB가 활성화되어 있어 외부에서 손쉽게 접근 및 응용 가능함
내부 분석 결과, OpenAI API 키 등이 암호화 없이 노출되어 잠재적 데이터 유출 위험이 존재함
동반 앱과 서버의 인증 미흡으로 사용자 대화 기록, 기기 정보, 실명 등 민감 정보 접근 및 노출 가능성 확인됨
보안 취약점 보고 후 일부 패치가 이뤄졌으나, 여전히 여러 보안 문제점이 남아 있음

개요

IKKO Activebuds는 소셜 미디어에서 주목받는 "AI 기반" 이어버드로, 실제로 Android 운영체제를 사용하고 있음
박스 구성품과 패키징이 특이하며, 기기는 부팅 시 ChatGPT 화면을 중심으로 여러 AI 기능 및 앱 제공
ChatGPT 및 번역 등 AI 기능을 강조하지만, 음질 품질이나 UX 측면에서는 평범하지 않음
별도 앱스토어에서 앱 지원(예: Spotify, Subway Surfers)하지만 기기 화면이 작아 사용성이 떨어짐
이 이어버드의 핵심 기능을 테스트 및 보안 취약점 분석을 진행함

해킹 및 분석 과정

기기에 브라우저 미탑재, 개발 모드 비활성화, ADB 설정 제약이 있었으나, PC에 연결하면 ADB가 기본 활성화 상태임을 확인
ADB를 통해 DOOM 게임 설치 및 기기 내부 검사 가능
ChatGPT와의 통신이 OpenAI API와 직접적으로 이뤄짐을 발견, 즉 API 키가 기기 내 존재함을 추정함
Unisoc 기반 장치의 경우, 부트로더 잠금 해제 툴로 루팅 시도 가능하지만, 하드웨어 버튼 부재 등의 문제로 실패함
APK 추출 및 디컴파일을 통해 앱 구조와 주요 통신 도메인(api.openai.com, chat1/2.chat.iamjoy.cn 등) 확인

API 키 및 인증 취약점 발견

내부 파일(SecurityStringsAPI)에서 암호화된 엔드포인트 및 인증키 확인
간단한 base64 인코딩과 추가 네이티브 라이브러리(난독화)에 통해 암호화되어 있으나, 루팅된 기기에서 앱 실행 시 쉽게 노출
실제로 OpenAI API 키를 확인함
시스템 프롬프트(기본, Angry Dan, In-Love Dan 등 커스텀 프롬프트) 와 같은 특이 기능도 존재
대화 내역 로그가 추가 엔드포인트(chat1 도메인)로 별도 기록되며, 헤더에 기기 IMEI와 메시지, 모델명, 응답 정보가 포함됨
앱스토어의 앱들은 apkpure.com에서 원본 추출로 추정됨

동반 앱 및 계정 연동 보안 문제

이어버드는 별도의 동반 앱에서 ChatGPT 연동 및 대화 기록 확인 가능
앱과 기기 간 QR 코드로 연동, API 호출 분석 결과 계정 토큰이 없어도 기기 id(IMEI)만 알면 대화 기록 전부 조회 가능
공개된 튜토리얼 영상에서 blur 처리되지 않은 device id를 활용, 실제로 데모 기기 전체 대화내역 추출 성공
IMEI 예측 → QR 코드 생성 → 미연결 기기 연동 → 기존 사용자 실명/대화 기록 조회 가능
계정 생성 시 입력한 이름 조합이 username으로 노출됨 (예: 이름 "Cheese2" + 성 "Delight2" → "Cheese2Delight2" 노출)
unbind_dev 엔드포인트는 정상적으로 인증을 요구해 무차별 해제는 불가함

추가 보안 취약점 및 대응

대화 로그를 동반 앱으로 전송하는 API 역시 인증 없이 임의 메시지 전송 가능
HTML, JS 인젝션은 Vue 프레임워크의 내장 보안으로 차단되나, 사기성 메시지 전송 등 악용 여지 존재
취약점 보고 후, 개발사에서 앱 유지보수 및 패치 진행, 대화기록 API는 서명값 필요로 강화됨
그럼에도 여전히 추가 취약점(IMEI 예측 통한 기기 연동, 키 미로테이션 등)이 남아 있음
ChatGPT 연동은 proxy API로 대체, proxy는 여전히 인증없이 User-Agent만 일치하면 사용 가능하며, API 키도 최근에야 교체됨

결론 및 현황

패치를 통해 일부 보안성은 향상, 하지만 여전히 기기-앱 연동, 사용자 데이터 보호 등 다수의 근본적 취약점이 존재함
OpenAI API 키 유출, 민감 정보 노출 등으로 인해 회사와 사용자 모두 상당한 보안 위험에 노출됨
이어버드와 관련 시스템의 적절한 인증 및 키 관리 부재가 주된 문제
현재도 완전한 해결이 되지 않았으며, 추가 대응이 필요함
IKKO Activebuds는 보안성 측면에서 주의가 요구되는 기기임

Read Entire Article