ノートPCのウェブカメラでLEDを点灯させずにこっそり撮影するハッキングが可能である事が実証される

ThinkPad X230のウェブカメラは内部的にUSBでPCと接続されています。Lights OutはUSB経由でウェブカメラのファームウェアを書き換えることで動作するため、PCへの物理的なアクセスがなくとも動作し、マルウェアに悪用されるとユーザーの気付かない間にプライバシーが侵害される危険があります。


また、コノヴァロフ氏はThinkPad X230で実証を行いましたが、多くのノートPCではThinkPad X230と同様にUSBでウェブカメラが接続されており、ファームウェアの書き換えも可能なため、同様の手法が多数のノートPCに適用できる可能性があるとのこと。

具体的な手法は下記の通り。

ThinkPad x230にはRicoh R5U8710 USBカメラコントローラーが使用されており、R5U8710のGPIO B1ピンにウェブカメラが使用中かどうかを示すLEDが接続されています。GPIO BポートはR5U8710のXDATAメモリーの0x80アドレスにマッピングされており、0x80アドレスを書き換えるとウェブカメラの状態に関係なくLEDの状態を変更可能です。


コノヴァロフ氏はウェブカメラ用基板のSPIチップにカスタムファームウェアを書き込むことでXDATAメモリ空間内の任意のアドレスのデータを書き換えられるようにしました。0x80アドレスのデータを書き換えることで、カメラの使用状況にかかわらずLEDを制御できるというわけです。

コノヴァロフ氏が使用したコードはGitHub上で公開されているものの、「ウェブカメラが機能しなくなる可能性があるので注意して使用するように」と警告が書かれていました。