IT之家 12 月 3 日消息，今年 11 月舉辦的 POC 2024 活動中，網(wǎng)絡(luò)安全專家 Andrey Konovalov 展示了新的概念驗(yàn)證程序 Lights Out，可以通過更新固件的方式關(guān)閉 LED 指示燈，從而在用戶不知情下悄悄攝錄像。
Konovalov 還在 Github 上分享了 Lights Out 源代碼，可以在不物理訪問筆記本的情況下，通過軟件控制 ThinkPad X230 上的網(wǎng)絡(luò)攝像頭 LED 燈。
Konovalov 以聯(lián)想 ThinkPad X230 筆記本作為演示，不過他在演講幻燈片中表示，由于通過 USB 連接網(wǎng)絡(luò)攝像頭并允許重刷其固件，是筆記本電腦制造商的常見設(shè)計(jì)模式，因此其它主流筆記本可能同樣存在該風(fēng)險漏洞。
漏洞簡介
IT之家簡要介紹下該漏洞細(xì)節(jié)如下：ThinkPad X230（以及同期的其它主流筆記本）的攝像頭基于 Ricoh R5U8710 USB 攝像頭控制器，而該控制器的固件 SROM 部分存儲在攝像頭電路板的 SPI 閃存芯片上，并且可以通過 USB 重刷。
X230 攝像頭板上的 LED 連接到 R5U8710 控制器的 GPIO B1 引腳。GPIO B 端口映射到 R5U8710 內(nèi)部基于 8051 的 CPU 的 XDATA 存儲空間中的 0x80 地址。因此，更改該地址的值會更改 LED 的狀態(tài)。無論攝像頭當(dāng)前是否正在傳輸視頻，此方法都有效。
物理遮擋是終極方案
Konovalov 也表示目前大部分筆記本電腦都提供了攝像頭蓋子，可以在不使用時蓋住攝像頭；即便沒有，也可以效仿扎克伯格，使用膠帶等方式，物理蓋住攝像頭。
廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。