xairy/lights-outFerramentas para controlar o LED da webcam no ThinkPad X230
Este repositório contém ferramentas que permitem obter controle de software sobre o LED da webcam em um ThinkPad X230 sem acesso físico ao laptop. Elas foram criadas como uma demonstração prática de que malware pode gravar vídeo através da webcam sem a indicação do LED.
Isso funciona regravando o firmware da webcam via USB (a webcam do X230 é conectada por USB internamente) para adicionar a capacidade de controlar o LED arbitrariamente. Essa abordagem provavelmente afeta muitos outros laptops, já que conectar a webcam via USB e permitir a regravação do seu firmware é um padrão comum entre os fabricantes de laptops.
Consulte a palestra "Lights Out: Covertly turning off the ThinkPad webcam LED indicator" (pdf) que apresentei na POC 2024 para obter detalhes: descobrir uma maneira de regravar o firmware da webcam do X230, fazer engenharia reversa do firmware, adicionar um implante para controle do LED e notas sobre a aplicabilidade da abordagem a outros laptops.
Nota: Regravar o firmware da webcam pode inutilizar a webcam; use estas ferramentas com cautela.
A webcam usada no ThinkPad X230 (e em alguns outros laptops da mesma época) é baseada no controlador de câmera USB Ricoh R5U8710. Esse controlador armazena uma parte do seu firmware, a parte SROM, no chip de memória flash SPI localizado na placa da webcam. O controlador também permite regravar o conteúdo do chip SPI via USB.
O LED na placa da webcam do X230 está conectado ao pino GPIO B1 do controlador R5U8710.
A porta GPIO B é mapeada no endereço 0x80 no espaço de memória XDATA da CPU baseada em 8051 dentro do R5U8710.
Assim, alterar o valor nesse endereço muda o estado do LED.
Isso funciona independentemente de a webcam estar transmitindo vídeo no momento ou não.
As ferramentas fornecidas neste repositório permitem gravar firmware personalizado com um chamado "implante universal" controlado via USB no chip SPI da placa da webcam.
Esse implante permite escrever dados controlados em endereços arbitrários (dentro do espaço de memória XDATA) e chamar endereços arbitrários (dentro do espaço de memória CODE; com alias em XDATA a partir do offset 0xb000).
O implante universal pode ser usado para:
Carregar dinamicamente um implante de segundo estágio na memória do controlador da câmera e executá-lo (originalmente usado para fins de engenharia reversa);
Controlar diretamente o LED da webcam.
Consulte os slides da palestra para mais detalhes.
srom.py — lê e escreve a parte SROM do firmware de uma webcam baseada em Ricoh R5U8710 via USB.
Nota: A webcam só carrega o firmware SROM durante a inicialização. Portanto, você precisará religar o laptop do zero (desligamento completo, não apenas reinicialização) para que o firmware atualizado seja carregado;
patch_srom.py — aplica patch na imagem SROM da webcam FRU 63Y0248 (não da webcam original do X230) para adicionar o implante universal.
Nota: Esta ferramenta requer modificação para funcionar com a imagem SROM da webcam original do X230.
No entanto, a imagem SROM da FRU 63Y0248 (opcionalmente, com o implante adicionado) também pode ser gravada na webcam original do X230;
fetch.py — busca o conteúdo do espaço de memória IRAM, XDATA ou CODE via USB através de um implante de segundo estágio que é carregado dinamicamente via implante universal;
led.py — liga ou desliga o LED da webcam sobrescrevendo o valor no endereço 0x80 em XDATA via implante universal.
srom/x230.bin — conteúdo SROM do módulo de webcam original do X230 (FRU desconhecida; marcação 19N1L1NVRA0H na placa);
srom/63Y0248.bin — conteúdo SROM do módulo de webcam FRU 63Y0248;
code/63Y0248.bin — conteúdo do espaço de memória CODE vazado do módulo de webcam FRU 63Y0248.
Nota: A ROM de inicialização está abaixo do offset 0xb000 e é idêntica à ROM de inicialização do módulo de webcam original do X230.
