Luces apagadas

Este repositorio contiene herramientas que permiten obtener control por software del LED de la cámara web de un ThinkPad X230 sin acceso físico al portátil. Fueron creadas como una demostración práctica de que el malware puede grabar vídeo a través de la cámara web sin que el LED lo indique.

Esto funciona reflasheando el firmware de la cámara web por USB (la cámara web del X230 está conectada por USB internamente) para añadir la capacidad de controlar el LED de forma arbitraria. Este enfoque probablemente afecta a muchos otros portátiles, ya que conectar la cámara web por USB y permitir reflashear su firmware es un patrón de diseño común entre los fabricantes de portátiles.

Véase la charla «Luces apagadas: cómo apagar de forma encubierta el indicador LED de la cámara web del ThinkPad» (pdf) que impartí en POC 2024 para los detalles: descubrir una forma de reflashear el firmware de la cámara web del X230, aplicar ingeniería inversa al firmware, añadir un implante para el control del LED y notas sobre la aplicabilidad del enfoque a otros portátiles.

Nota: reflashear el firmware de la cámara web podría dejarla inservible; usa estas herramientas con precaución.

Visión general

La cámara web utilizada en el ThinkPad X230 (y en otros pocos portátiles de la misma época) se basa en el controlador de cámara USB Ricoh R5U8710. Este controlador almacena una parte de su firmware, la parte SROM, en el chip de memoria flash SPI situado en la placa de la cámara web. El controlador también permite reflashear el contenido del chip SPI por USB.

El LED de la placa de la cámara web del X230 está conectado al pin GPIO B1 del controlador R5U8710. El puerto GPIO B está mapeado en la dirección 0x80 del espacio de memoria XDATA de la CPU basada en 8051 dentro del R5U8710. Por lo tanto, cambiar el valor en esa dirección cambia el estado del LED. Esto funciona independientemente de si la cámara web está transmitiendo vídeo en ese momento o no.

Las herramientas proporcionadas en este repositorio permiten flashear firmware personalizado con el llamado «implante universal» controlado por USB en el chip SPI de la placa de la cámara web. Este implante permite escribir datos controlados en direcciones arbitrarias (dentro del espacio de memoria XDATA) y llamar a direcciones arbitrarias (dentro del espacio de memoria CODE; con alias con XDATA a partir del offset 0xb000).

El implante universal puede utilizarse para:

• Cargar dinámicamente un implante de segunda etapa en la memoria del controlador de la cámara y ejecutarlo (originalmente utilizado con fines de ingeniería inversa);

• Controlar directamente el LED de la cámara web.

Consulte las diapositivas de la charla para más detalles.

Herramientas

• srom.py — lee y escribe la parte SROM del firmware de una cámara web basada en Ricoh R5U8710 por USB.

  Nota: la cámara web solo carga el firmware SROM durante su arranque. Por lo tanto, tendrá que apagar y encender el portátil (apagado completo, no solo reinicio) para que se cargue el firmware actualizado;

• patch_srom.py — parchea la imagen SROM de la cámara web FRU 63Y0248 (no de la cámara web original del X230) para añadir el implante universal.

  Nota: esta herramienta requiere modificaciones para funcionar con la imagen SROM de la cámara web original del X230. Sin embargo, la imagen SROM del FRU 63Y0248 (opcionalmente, con el implante añadido) también se puede flashear en la cámara web original del X230;

• fetch.py — obtiene el contenido del espacio de memoria IRAM, XDATA o CODE por USB mediante un implante de segunda etapa que se carga dinámicamente a través del implante universal;

• led.py — enciende o apaga el LED de la cámara web sobrescribiendo el valor en la dirección 0x80 de XDATA a través del implante universal.

Volcados de memoria

• srom/x230.bin — contenido SROM del módulo de cámara web original del X230 (FRU desconocido; marcado 19N1L1NVRA0H en la placa);

• srom/63Y0248.bin — contenido SROM del módulo de cámara web FRU 63Y0248;

• code/63Y0248.bin — contenido del espacio de memoria CODE filtrado del módulo de cámara web FRU 63Y0248.

  Nota: la ROM de arranque está por debajo del offset 0xb000 y es idéntica a la ROM de arranque del módulo de cámara web original del X230.