Hardware14 nov 2026, 8:22 UTC·2 min de lectura

Xiaomi Mi Smart Speaker: root y SSH con la ventana USB del bootloader

Un aficionado logró root y SSH persistente en el Xiaomi Mi Smart Speaker con Marusya, usando la ventana USB del bootloader y una copia completa de la NAND.

Xiaomi Mi Smart Speaker with its board exposed and thin wires soldered to USB test pads, connected to a laptop. — Imagen: Хабр

Un Xiaomi Mi Smart Speaker con la asistente rusa Marusya, recibido en 2021 como regalo con un móvil, funciona ahora como un pequeño ordenador Linux al que puedes conectarte. Su dueño consiguió root y un servidor SSH que sobrevive a un reinicio normal, y publicó la herramienta que creó: SpeakerLab 1.0.

El truco está en el arranque. La placa tiene Secure Boot activado, pero el cargador original deja trabajar con la memoria RAM una vez verificada con éxito la imagen de arranque del altavoz. SpeakerLab aprovecha ese hueco. Mantiene el kernel y el device tree originales y sustituye el initramfs (un pequeño sistema de archivos de arranque) por uno temporal con un instalador y la clave SSH pública del propietario. No se falsifican firmas ni se tocan las claves OTP/eFuse.

¿En qué Xiaomi Mi Smart Speaker funciona?

Solo en uno. El autor probó la placa AS09A VER0201 con Marusya: SoC Amlogic A113X, 512 MiB de DDR3, NAND de Kioxia/Toshiba, firmware 32.23.1, U-Boot 2015.01 y Linux 4.9.113. La herramienta compara el SHA256 del código del bootloader con un perfil y se detiene si no coincide. La versión global con Google Assistant comparte origen de hardware, pero su particionado y su software difieren, así que no está soportada.

Cómo funciona

En un arranque en frío, el bootloader aparece brevemente por USB como dispositivo 1b8e:c003. La herramienta lo espera: se inicia la operación, aparece «Esperando USB» y entonces se corta del todo la alimentación y se vuelve a encender. Un reinicio por software no abrió esa ventana en la unidad del autor. La conexión se hace con puntos USB soldados en la placa, dejando la línea de 5 V sin conectar y aislada. Recomienda comprobar las etiquetas y los colores de los cables en la propia placa.

Antes de nada, la herramienta hace un volcado físico completo de la NAND, con la zona OOB y los bloques defectuosos: 131.072 páginas, 272 MiB por lectura. Los datos llegan por tramos al PC y se verifica la cobertura de páginas, no solo el hash del archivo. Un hash correcto no prueba una lectura sin errores, advierte el autor, que vio algunas discrepancias. El volcado contiene ajustes de red, claves e identificadores, por eso no publica el suyo.

El instalador monta la partición del sistema en solo lectura y el /data existente como UBIFS, sin formatear ni escribir en particiones de arranque. Los archivos SSH viven en /data/speakerlab, lo que sigue siendo un cambio permanente en la NAND. El autor también explica cómo bloquear las actualizaciones OTA.