ウェブカメラのLEDを消して動画を録画するマルウェア、ThinkPad X230で実演

 (github.com/xairy)
2 ポイント 投稿者 GN⁺ 2024-11-28 | 1件のコメント | WhatsAppで共有
  • このリポジトリには、ThinkPad X230のウェブカメラLEDをソフトウェアで制御できるツールが含まれている
  • 物理的なアクセスなしでも、ウェブカメラを通じて動画を録画できるマルウェアの可能性を示すために作られた
  • USB経由でウェブカメラのファームウェアを再フラッシュし、LEDを任意に制御できる機能を追加する
  • このアプローチは、他の多くのノートPCにも影響する可能性がある

ツール

  • srom.py: Ricoh R5U8710ベースのウェブカメラのSROMファームウェアをUSB経由で読み書きする。ウェブカメラは起動時にのみSROMファームウェアを読み込むため、更新したファームウェアを読み込むにはノートPCを完全にシャットダウンして再度起動する必要がある。
  • patch_srom.py: FRU 63Y0248 ウェブカメラのSROMイメージをパッチして、汎用インプラントを追加する。元のX230ウェブカメラSROMイメージと一緒に使うには修正が必要。
  • fetch.py: 汎用インプラントを通じて動的にアップロードされた第2段階インプラントにより、IRAM、XDATA、CODE メモリ空間の内容をUSB経由で取得する。
  • led.py: 汎用インプラントを通じて XDATA のアドレス 0x80 の値を上書きし、ウェブカメラLEDをオンまたはオフにする。

メモリダンプ

  • srom/x230.bin: 元のX230ウェブカメラモジュールのSROM内容。
  • srom/63Y0248.bin: FRU 63Y0248 ウェブカメラモジュールのSROM内容。
  • code/63Y0248.bin: FRU 63Y0248 ウェブカメラモジュールから抽出された CODE メモリ空間の内容。ブートROMはオフセット 0xb000 より下にあり、元のX230ウェブカメラモジュールのブートROMと同一。

関連記事

1件のコメント

 
GN⁺ 2024-11-28
Hacker Newsの意見
  • カメラのLEDは電源と接続されていて常時点灯するべきであり、ファームウェアで制御できるならセキュリティ上の問題になる
  • カメラよりもマイクのほうが心配。macOSはマイク使用時にメニューバーにインジケーターを表示するが、ハードウェア的にハック不可能であるほうが望ましい
  • ThinkPad X1 Carbon Gen 8ではウェブカメラのLEDを消して録画できる。ThinkShutterという物理スイッチがあるが、使い方を誤るとLEDだけ消えてレンズは隠れない
  • ほとんどのウェブカメラのLEDはカメラ電源と直列に接続されているべき。ソフトウェアで制御可能なLED設計は問題
  • 現代の機器のマイクにはLEDやスイッチがなく、カメラよりもさらに大きな問題。機密情報を簡単に収集できる
  • LenovoのノートPCにはカメラを物理的に隠すスライダーボタンがある。これはドライバーにも影響し、Windowsではカメラが切断されたものとして認識される
  • カメラとマイクには物理スイッチが必要。ソフトウェアスイッチは信頼できない。使わないときはカメラとマイクを切り離す
  • マイクとカメラの電源を個別に制御できる物理スイッチが必要。これはiPhoneのミュートスイッチのように簡単なものでよい
  • X230ノートPCは今でも広く使われている。Lenovoの最新キーボードは品質が落ちる。T14sシリーズは携帯性に欠ける
  • ウェブカメラカバーを使ってプライバシーを守る人は多い。マイクは遮断しにくい
  • セキュリティコミュニティではかなり前から知られている問題。X230は古いモデルなので、最新モデルではこの問題が解決されていることを願う