PWNORDIE 2026 - Beyond the Goggles Hacking FPV Drones Through the RF Spectrum by Mateo Camacho

¿Qué puede descubrir un atacante sobre un dron FPV sin conectarse a su flight controller, sin acceder a su firmware y sin tocar físicamente la aeronave? Esta charla explora el hacking de drones FPV desde una superficie que normalmente queda en segundo plano: radiofrecuencia. A diferencia de las plataformas comerciales altamente integradas, los drones FPV suelen combinar sistemas independientes para control, vídeo y telemetría. Un mismo UAV puede usar ExpressLRS o TBS para el enlace de control y un VTX independiente para transmitir vídeo, cada uno operando en su propia banda y con su propio comportamiento. Cada uno de estos enlaces es, en la práctica, una superficie RF distinta. La investigación parte de una plataforma FPV real con ExpressLRS, capturada mediante un HackRF One en 2.4 GHz. A partir de muestras IQ y herramientas SDR se estudia cómo identificar actividad RF, diferenciar una frecuencia de un protocolo, y qué características temporales y espectrales pueden revelar sobre el enlace observado. Observar el espectro es solo el comienzo. ExpressLRS ya ha sido objeto de investigación de seguridad: NCC Group documentó vulnerabilidades en versiones 1.x y 2.x que permitían, bajo determinadas condiciones, obtener información del identificador del enlace mediante observación del tráfico y usarla para tomar control del receptor. El advisory muestra cómo los paquetes de sincronización y la generación FHSS del protocolo pueden convertirse en información valiosa para un atacante. Esta investigación toma ese trabajo como punto de partida para estudiar la superficie RF desde el lado experimental: ¿qué puede observar realmente un atacante desde el aire? Sobre esa base se presentan tres frentes experimentales. Primero, pruebas controladas con un prototipo basado en NRF24L01 para observar cambios en un enlace FPV activo bajo condiciones de interferencia RF. Segundo, una observación de campo de una demostración militar de sistemas antidrones, en la que una plataforma FPV con TBS fue sometida a un sistema especializado de inhibición operado por personal militar — usada aquí solo como contexto técnico para comparar el comportamiento de distintas arquitecturas RF. Y tercero, la superficie de vídeo: en sistemas FPV analógicos el VTX transmite en 5 GHz, independiente del enlace de control, y existen antecedentes de recepción de vídeo FPV mediante HackRF y SigDigger. Esta técnica se presenta como una prueba de concepto en desarrollo, sin asumir de antemano que el vídeo podrá recuperarse en la plataforma bajo estudio — el objetivo es mostrar hasta dónde puede llegar un investigador partiendo únicamente de una señal RF. En conjunto, esta es una inmersión técnica en SDR, análisis de señales, ExpressLRS, FHSS, enlaces FPV, VTX y la superficie RF de los drones — desde detectar que hay algo transmitiendo, hasta preguntarse qué tan lejos se puede llegar con esa señal. Todo el trabajo experimental se realiza sobre equipos propios o dentro de entornos controlados.