Les logiciels malveillants peuvent désactiver à distance le voyant de la webcam sur ThinkPad X230

Un chercheur en sécurité Andrey Konovalov découvre que le voyant de la webcam du ThinkPad X230 peut être contrôlé par logiciel, même sans accéder physiquement à l'ordinateur portable. Il a créé un ensemble d'outils pour démontrer que des logiciels malveillants peuvent désactiver à distance le voyant de la webcam d'un ordinateur portable ThinkPad X230.

Andrey Konovalov, dans sa présentation "Lights Out : éteindre discrètement l'indicateur LED de la webcam du ThinkPad", explique comment il a découvert une vulnérabilité dans la webcam du ThinkPad X230 qui permet à un attaquant de contrôler la LED à distance sans accès physique à l'ordinateur portable

Il affirme que cela est possible parce que la webcam se connecte à l'ordinateur portable en interne via l'USB, et que la LED est connectée à une broche sur la puce contrôleur de la caméra, qui peut être manipulée via le firmware.

Cette découverte soulève des inquiétudes concernant de potentielles violations de la vie privée, car un logiciel malveillant pourrait potentiellement enregistrer des vidéos à l'insu de l'utilisateur.

Comment fonctionne l'exploit

L'exploitation repose sur le fait que le firmware de la webcam peut être reflashé via USB. Le firmware comporte une section appelée SROM, qui se trouve sur une puce flash SPI sur la carte de la webcam. En écrasant le SROM avec un firmware modifié, il est possible de prendre le contrôle de divers aspects de la webcam, y compris la LED.

Konovalov a pu déterminer que la LED de la webcam X230 est connectée à la broche GPIO B1 du contrôleur de caméra USB Ricoh R5U8710. Cette broche est mappée à l'adresse 0x80 dans l'espace mémoire XDATA du processeur basé sur 8051 du contrôleur. En modifiant le firmware pour changer la valeur à cette adresse, la LED peut être allumée ou éteinte.

Méthodologie de recherche

Andrey Konovalov a utilisé le fuzzing USB pour découvrir cette vulnérabilité.

Le fuzzing USB est une technique utilisée pour trouver des failles de sécurité dans les logiciels ou matériels qui communiquent via USB. Elle fonctionne en envoyant un grand nombre de requêtes USB invalides ou inattendues à l'appareil cible et en observant son comportement.

Konovalov a construit une configuration personnalisée pour reprogrammer le firmware de la webcam via USB et pour empêcher d'endommager définitivement la webcam pendant le processus de fuzzing.

Outils

Andrey a découvert cette vulnérabilité en testant de manière fuzzing l'interface USB de la webcam. Il a développé un ensemble d'outils qui permettent de :

Lecture et écriture de la partie SROM du micrologiciel d'une webcam basée sur le Ricoh R5U8710 via USB.
Correction de l'image SROM pour ajouter l'implant universel.
Récupération du contenu de la mémoire IRAM, XDATA ou CODE via USB.
Allumer ou éteindre la LED de la webcam.

Vous pouvez trouver tous les outils dans son dépôt GitHub.

Implications pour les autres ordinateurs portables

La même approche utilisée pour contrôler la LED sur le ThinkPad X230 est potentiellement applicable à d'autres ordinateurs portables. De nombreux fabricants d'ordinateurs portables utilisent l'USB pour connecter les webcams en interne et permettent de reprogrammer le firmware. Si la LED n'est pas directement liée à l'alimentation du capteur de la caméra mais est plutôt contrôlée via le firmware, elle pourrait être susceptible à une manipulation similaire.

Konovalov suggère que les fabricants OEM lient la LED de la webcam au capteur de mise sous tension de la caméra pour atténuer cette vulnérabilité

Recommandations pour les utilisateurs d'ordinateur portable

Bien que le reflashage du firmware de la webcam soit un processus complexe, le potentiel de logiciels malveillants exploitant cette vulnérabilité est réel.

Voici quelques recommandations pour les utilisateurs d'ordinateur portable :

Cache-webcam physique : Envisagez d'utiliser un cache-webcam physique lorsque la caméra n'est pas utilisée. Cela fournit un moyen simple et efficace de bloquer l'objectif de la caméra.
Désactiver la webcam intégrée : Si vous n'utilisez pas la caméra, il est préférable de désactiver complètement la webcam.
Conscience du comportement de la LED : Soyez attentif à tout comportement inhabituel de la LED de la webcam. Si la LED ne s'allume pas lorsque la caméra devrait être active, cela pourrait être une indication de compromission.
Maintenez le logiciel à jour : Assurez-vous que votre système d'exploitation et vos logiciels de sécurité sont à jour afin de réduire les vulnérabilités potentielles.

Cette recherche montre que même des fonctionnalités apparemment innocentes comme les LED des webcams peuvent être exploitées à des fins malveillantes. Les utilisateurs doivent être conscients du potentiel de violations de la vie privée et prendre des mesures appropriées pour se protéger.