Wnętrze wielkiego telewizora UE55MU6452U, analiza, dekodowanie i symulacja flash za środka

Zastanawialiście się kiedyś, co siedzi w pamięci Flash ze współczesnego telewizora? Zapraszam na krótką prezentację wnętrza telewizora Samsung UE55MU6452U 55” 4K UHD Smart TV połączoną z inżynierią wsteczną i emulacją firmware kontrolera T-Con. Pokażę tutaj, jak zbudowany jest taki telewizor, jak zrealizowane jest jego podświetlenie i jakie elementy można odzyskać ze środka. Na koniec spróbuję też zgrać zawartość pamięci Flash ze środka, odpowiednią ją zdekodować, określić jej architekturę, adresy UART i odpalić ją w prostym emulatorze.

Demontaż i podświetlenie
Demontaż zacząłem od samego ekranu. W telewizorach LCD obraz generowany jest przez matrycę ciekłokrystaliczną, natomiast podświetlenie stanowi osobny moduł znajdujący się za nią. Kiedyś realizowane było ono w oparciu o świetlówki CCFL, teraz mamy telewizory LEDowe. Pasek LED jest tylko na dolnej krawędzi tego egzemplarza, ale ich światło przechodzi przez kilka warstw dyfuzorów i folii rozpraszających, które równomiernie oświetlają całą powierzchnię panelu.

Po zdjęciu tylnej pokrywy można zobaczyć dwa główne moduły telewizora - zasilacz i płytę główną. Są też oczywiście głośniki.

Zasilacz L55E6R_KHS
Zasilacz zbudowany jest zasadniczo z dwóch modułów. Mamy tu osobno zasilanie dla płyty głównej, w tym przypadku 12.8 V przy prądzie nieco ponad 5 A, i osobno mamy stałoprądowy zasilacz dla podświetlenia LED, w zależności od wersji może to być 198 V 370 mA przy 300 Hz.

Tego typu zasilacze to zazwyczaj płytki jednostronne. Część komponentów, zwłaszcza te większe, jest montowana przewlekanie, a część, w tym układy scalone, są w technologii SMT. Co ciekawe, transformatory impulsowe oraz kondensator na 400 V zostały specjalnie zamontowane w wycięciach PCB, tak aby zmniejszyć jej wysokość.

Z komponentów mamy tu tranzystory MOSFET 10N60M2, 60S380CE i ultraszybkie diody U10A6C1.



Płyta główna
Płyta główna jest zrealizowana w oparciu o montaż powierzchniowo. PCB jest dwustronne, ale elementy są tylko z wierzchu. Mamy tu zasadniczo mały komputer, wraz z procesorem, pamięciami, sekcją przetwornic i wejść/wyjść.

Głośnikami steruje wzmacniacz audio klasy D TAS5749M:

Po zdjęciu radiatora:

Elementy takie jak CPU, pamięć RAM i Flash montowane są już w technologii BGA (Ball Grid Array). Zapewnia to większą gęstość upakowania połączeń, lepsze właściwości elektryczne oraz bardziej kompaktową konstrukcję układu, jednocześnie niestety utrudniając ręczną naprawę i lutowanie tych komponentów.

Po wyczyszczeniu pasty można zidentyfikować CPU - SDP1601 ver. 05:

Nie znalazłem o nim informacji w sieci, za wyjątkiem strony wikimedia z galerią z dość podobnego telewizora:
https://commons.wikimedia.org/wiki/File:Samsu...E40MU6409U_-_board_-_Samsung_SDP1601-5286.jpg


Pamięć Flash od T-Con?
T-Con (Timing Controller) to kontroler sterujący matrycą LCD, odpowiedzialny m.in. za generowanie sygnałów sterujących dla pikseli. Pierwsza kość 25Q80DVSIG znajduje się na skraju PCB. Jej linia SPI prowadzi do padów od brakującego złącza.

Entropia danych jest dość wysoka, ale tylko do offsetu 0x19000. Dalej pamięć jest pusta.
Tu już znalazłem ciekawe sekcje, które wyglądają na napisy, ale w jakimś dziwnym języku. A może coś jest poprzestawiane?

Szybka analiza literek pokazuje, że mamy zmienioną kolejność bajtów. Przykłady potwierdzające mój pomysł dałem do tabelki:

Surowe (jak w pliku)	Dekodowane (32-bit byte-swap)
locnIcerrhc tskce	Incorrect checksum
oB dnito!! g	Booting!!
CIMPATS_ER_TT_DA_EPYS	SYS_TYPE_AD_TT_RE_STAM PIC
NOCTamI I eg ofns%	TCON Image Info sd%

Zrobiłem program do przerzucenia wszystkich bajtów:

W napisach znalazłem informacje o procesorze - aeabi Cortex-M0. Dodatkowo jest dużo komunikatów o błędach, o pamięci Flash oraz o T-Con:

Wygląda też, jakby była tam jakaś linia komend:

Wspierane są różne typy Flash:

Czym jest Demura? Demura to technika kalibracji matrycy LCD polegająca na kompensacji nierównomierności jasności i kolorów pomiędzy poszczególnymi pikselami. Dane korekcyjne przechowywane są zazwyczaj w postaci tablic LUT.

LUT? Lookup table? Ale czym jest SDC? Chodzi o mapowanie kolorów?



Pamięć Flash od T-Con - część 2 - analiza i określenie rejestrów UART
Wczytałem Flash do Ghidra, użyłem ustawień ARM:LE:32:Cortex. Instrukcje i funkcje są poprawnie dekodowane.

Szybko można znaleźć tam odniesienia do napisów, przykładowo do UART_RDY, na zrzucie ekranu poniżej mamy instrukcję ldr która ładuje wskaźnik do tego napisu, tuż po tym wywoływana jest funkcja 74f8. Ciekawe co ona może z tym napisem robić...

Pierwszy rzut oka jeszcze tego nie wyjaśnia, ale nie poddawajmy się:

Jedna z podfunkcji wygląda jak iteracja napisu zakończonego zerowym bajtem:

Każdy znak jest przetwarzany przez kolejną procedurę, która najpierw zdaje się czekać w pętli aż UART będzie wolny, a potem wysyła jeden bajt:

FUN_00004d60 tylko bada zapalanie trzeciego bitu na wartości o adresie DAT_00004d6c. Flaga ready? Natomiast coś zapisuje do wartości z DAT_00004de0... ale DAT_00004de0 to wskaźnik, co jest tam w pamięci?

Tam jest adres rejestru UART_TX_DATA, czyli 0x009D0E20! To ten rejestr wysyła dalej znaki. Analogicznie, można określić pozostałe rejestry:
- 0x009D0E00 = UART_CTRL (on/off, wartość 0x3)
- 0x009D0E04 = UART_BAUD (baud, wartość 0x3085)
- 0x009D0E10 = UART_STATUS (bit 2 = TX gotowe)
- 0x009D0E20 = UART_TX_DATA (bajt do wysłania)
- 0x009D0E28 = UART_FIFO_CFG (głębokość FIFO 0x50?)
Poprawność tego dopiero można zweryfikować.

Pamięć Flash od T-Con - część 3 - emulacja
Na koniec przygotowałem prosty emulator PoC (Proof of concept) w deassemblerze Capstone i emulatorze Unicorn w języku Python. Dodatkowo całość emuluje podstawowe peryferia i ma poprawki niektórych instrukcji. Przechwyciłem operacje na wyodrębnionych rejestrach UART. Rezultatem jest następujący boot log:

Potwierdza to identyfikację rejestrów i daje nadzieję na to, że po samodzielnej kompilacji firmware bylibyśmy w stanie też wyświetlać tekst.


Pamięć Flash przy CPU
Druga znaleziona pamięć Flash znajduje się tuż przy CPU. Jej oznaczenie to 25Q40CLSIP, z czego można wywnioskować jej rozmiar: 512 KB. Obstawiałem, że tu tak jak na komputerze, siedzi jakiś BIOS.

Odlutowałem i zgrałem ją za pomocą CH341:

Zacząłem od analizy entropii. Entropia to miara nieuporządkowania danych - im wyższa, tym bardziej losowe są bity w pamięci. W kontekście pamięci Flash pozwala szybko ocenić, które fragmenty są uporządkowane, a które zawierają losowe lub skompresowane dane.

Tu też napisy są przestawione:

Szybko można znaleźć ciekawe identyfikatory. Data kompilacji:

Magistrala I2C:

Kontroler CEC HDMI (Consumer Electronics Control):

Komunikaty ADC:

MiCom - komunikacja z mikrokontrolerem?

Tu też wszystko się ładnie wczytuje do Ghidra po wybraniu trybu ARM Cortex, kolejność bajtów Little Endian. Wcześniej też odwracam słowa tak by napisy wyglądały poprawnie:

Ważniejsze funkcje się wręcz rzucają w oczy. Spójrzmy chociażby na ten losowo wybrany fragment kodu - czym jest FUN_00010068?

To pewnie wyświetlanie komunikatów o błędach, argumentem jest napis z pamięci Flash:


Trzecia pamięć Flash
Na koniec jeszcze mała ciekawostka - na samej matrycy też była kość pamięci, jednak nie zachowałem jej po demontażu i nie zbadałem jej zawartości. Muszę to zrobić przy kolejnym telewizorze:




Podsumowanie
Co za niespodzianka, to miała być prezentacja wnętrza telewizora, a po drodze zmieniła się w próby inżynierii wstecznej pamięci Flash od TCON. W podobny sposób też udało się nieco zdekodować drugą pamięć, tą z okolic CPU. Obie charakteryzowały się odwróceniem bajtów w słowach, co widać było po rozmaitych pozostawionych komunikatach. Po wykonaniu prostego 32-bitowego byte-swapa napisy w pamięci zaczęły układać się w zrozumiałe teksty, co znacznie ułatwiło analizę firmware. Dzięki temu udało się ustalić, że kontroler T-Con korzysta z procesora ARM Cortex-M0 oraz zidentyfikować fragmenty systemu wielozadaniowego i obsługę UART. Analiza kodu pozwoliła też określić adresy rejestrów UART, co umożliwiło stworzenie prostego emulatora Proof-of-Concept, który potrafi przechwycić log startowy firmware. Drugiej pamięci Flash, tej przy CPU, poświęciłem nieco mniej czasu, ale wygląda ona na niewielki firmware inicjalizacyjny. W jej zawartości można znaleźć obsługę różnych peryferiów, takich jak I2C, HDMI-CEC czy ADC, a także komunikację z dodatkowym mikrokontrolerem. To jednak nie BIOS.
Ostatecznie okazuje się, że nawet pojedyncze moduły telewizora mają własne mikrokontrolery i firmware, które można analizować podobnie jak inne systemy embedded. Już prosta analiza binarki potrafi ujawnić sporo informacji o działaniu całego urządzenia.
Rezultaty są dość zachęcające i dają poniekąd nadzieję, na skompilowanie i uruchomienie własnego programu na tego typu układy. Na początek wystarczyłby nawet prosty klasyk migający diodą LED, choć analiza UART daje również nadzieję na wyświetlanie własnych komunikatów. Być może podejmę też i takiej próby, choć przyznam, że muszę najpierw znaleźć płytkę, gdzie działa klips od CH341, albo znaleźć sposób programowania bez wylutu pamięci, bo jednak wielokrotne przelutowywanie układów nieco zwiększa czasochłonność takiej zabawy.
Nie wiem, na ile podziałam jeszcze w kontekście tej konkretnej płyty, ale mam już w zapasie kilka innych, kompletnych i sprawnych, z telewizorów-rozbitków i tam też określiłem, że jest pole do eksperymentów.
Czy uda się zamienić telewizor w Arduino? Przekonamy się wkrótce!