GN⁺: 웹캠 LED를 끄고 비디오를 녹화하는 악성코드, ThinkPad X230에서 시연

개요

• 이 저장소는 ThinkPad X230의 웹캠 LED를 소프트웨어로 제어할 수 있는 도구를 포함하고 있음.
• 물리적 접근 없이도 웹캠을 통해 비디오를 녹화할 수 있는 악성코드의 가능성을 보여주기 위해 만들어짐.
• USB를 통해 웹캠 펌웨어를 다시 플래시하여 LED를 임의로 제어할 수 있는 기능을 추가함.
• 이 접근 방식은 다른 많은 노트북에도 영향을 미칠 가능성이 있음.

도구

• srom.py: Ricoh R5U8710 기반 웹캠의 SROM 펌웨어를 USB를 통해 읽고 씀. 웹캠은 부팅 시에만 SROM 펌웨어를 로드하므로, 업데이트된 펌웨어를 로드하려면 노트북을 완전히 종료하고 다시 켜야 함.
• patch_srom.py: FRU 63Y0248 웹캠의 SROM 이미지를 패치하여 범용 임플란트를 추가함. 원래 X230 웹캠 SROM 이미지와 함께 사용하려면 수정이 필요함.
• fetch.py: 범용 임플란트를 통해 동적으로 업로드된 2단계 임플란트를 통해 IRAM, XDATA, CODE 메모리 공간의 내용을 USB를 통해 가져옴.
• led.py: 범용 임플란트를 통해 XDATA의 주소 0x80의 값을 덮어써서 웹캠 LED를 켜거나 끔.

메모리 덤프

• srom/x230.bin: 원래 X230 웹캠 모듈의 SROM 내용.
• srom/63Y0248.bin: FRU 63Y0248 웹캠 모듈의 SROM 내용.
• code/63Y0248.bin: FRU 63Y0248 웹캠 모듈에서 유출된 CODE 메모리 공간의 내용. 부트 ROM은 오프셋 0xb000 아래에 있으며, 원래 X230 웹캠 모듈의 부트 ROM과 동일함.