Din webbkamera kan bli en BadUSB-enhet utan att du märker det

Från lins till tangentbord: Hur firmware-hacking fungerar

Moderna webbkameror är betydligt mer komplexa än vad de flesta användare föreställer sig vid en första anblick. Inuti det lilla plasthöljet sitter en mikrokontroller som styr allt från bildbehandling till kommunikation med datorns operativsystem via USB-protokollet. Denna mikrokontroller drivs av en inbyggd programvara, så kallad firmware, som talar om för datorn vilken typ av enhet det rör sig om. Problemet uppstår när denna firmware inte är tillräckligt skyddad mot obehöriga ändringar eller uppdateringar från externa källor.

Sårbarheten ligger i själva USB-arkitekturen som bygger på en princip om absolut tillit till den anslutna hårdvaran. När en enhet kopplas in genomgår den en process som kallas enumerering där den presenterar sin identitet för värddatorn. Genom att manipulera kamerans firmware kan en angripare ändra dess beskrivning så att den inte bara rapporterar sig som en videokälla. Istället kan den programmeras att agera som en mänsklig gränssnittsenhet, vilket i praktiken innebär att operativsystemet ser den som ett vanligt fysiskt tangentbord.

Mikrokontrollerns roll i attacken

När den skadliga koden väl har planterats i kamerans minne ligger den där latent tills den aktiveras av ett specifikt kommando eller en timer. Eftersom processorn i kameran är oberoende av datorns huvudprocessor kan den utföra operationer i bakgrunden utan att förbruka systemresurser som märks i aktivitetshanteraren. Denna autonomi gör att kameran kan växla mellan att vara en fungerande webbkamera och ett dolt inmatningsverktyg på bråkdelen av en sekund. Detta skapar en perfekt miljö för långvarig och sofistikerad spionage.

De flesta tillverkare har historiskt sett prioriterat användarvänlighet och låga kostnader framför robust kryptografisk signering av sin firmware. Det innebär att en angripare som får tillgång till datorn via ett annat säkerhetshål ofta kan skicka en falsk uppdatering till kameran. När uppdateringen väl är installerad är hårdvaran permanent kompromitterad och kan inte längre litas på, oavsett hur många gånger man installerar om datorns operativsystem. Den skadliga logiken lever nämligen kvar i kamerans egna kretsar och väntar på nästa tillfälle.

• Enheten utnyttjar tilliten mellan hårdvara och operativsystem

• Firmware kan skrivas om utan att fysiska sigill bryts

• Enheten maskerar sig som en betrodd inmatningsenhet

• Attacken kräver inga speciella drivrutiner för att fungera

• Skadlig kod kvarstår efter en omstart av datorn

Den osynliga injektionen – så snabbt tar angriparen över din dator

När en webbkamera väl har omvandlats till en BadUSB-enhet är den största risken hastigheten med vilken den kan agera mot offret. Ett mänskligt tangentbord begränsas av hur snabbt en person kan skriva, men en emulerad enhet kan mata in tusentals tecken per sekund. Detta innebär att ett omfattande skript som laddar ner och kör skadlig kod kan exekveras på bara några få ögonblick. Användaren ser kanske ett snabbt blinkande fönster på skärmen, men ofta hinner man inte ens reagera innan skadan redan är skedd.

Eftersom datorn tror att det är användaren själv som skriver på ett tangentbord, kringgås många av de säkerhetsspärrar som normalt blockerar nedladdade filer. Operativsystemet antar att kommandon som matas in via ett tangentbord är legitima och har godkänts av personen framför skärmen. Detta gör att angriparen kan öppna terminalfönstret, ändra systeminställningar eller skapa nya administratörskonton med högsta behörighet. Allt detta sker utan att den lilla gröna lampan på kameran någonsin börjar lysa eller varna användaren.

Automatisering av skadliga kommandon

Kraften i denna metod ligger i förmågan att automatisera komplexa sekvenser av kommandon som är skräddarsydda för det specifika operativsystemet. Angriparen kan förprogrammera kameran att känna av om den sitter i en Windowsmaskin eller en mac genom att analysera hur USB-förfrågningarna ser ut. Baserat på detta svar skickas sedan exakt rätt tangentkombinationer för att öppna kommandotolken och hämta instruktioner från en fjärrserver. Det krävs ingen interaktion från den drabbade personen för att denna kedja ska starta och slutföras framgångsfullt.

Utöver att stjäla data kan en sådan attack användas för att sprida sig vidare i ett lokalt nätverk. Den kompromitterade webbkameran kan fungera som en språngbräda för att infektera andra anslutna enheter genom att injicera skript som letar efter delade resurser. Eftersom trafiken ser ut att komma från en intern och betrodd hårdvarukomponent, flaggas den sällan av brandväggar som letar efter hot utifrån. Den osynliga naturen hos dessa injektioner gör dem till ett av de mest potenta verktygen för riktat industrispionage i dagens uppkopplade samhälle.

Skydda din hårdvara: Strategier för att säkra dina USB-portar

Att skydda sig mot attacker som utnyttjar hårdvarans firmware kräver ett nytt förhållningssätt till digital säkerhet som sträcker sig bortom antivirusprogram. Det första steget är att inse att alla USB-enheter bär på en potentiell risk, oavsett hur enkla de verkar vara. För företag innebär detta ofta strikta policyer kring vilken kringutrustning som får användas på arbetsstationer. För privatpersoner handlar det om att vara vaksam på var man köper sin hårdvara och att undvika att koppla in okända enheter som hittats eller mottagits gratis.

En effektiv metod för att motverka oönskad inmatning är att använda mjukvara som övervakar USB-portarnas aktivitet. Det finns verktyg som varnar eller blockerar nya tangentbord som ansluts till datorn, vilket tvingar användaren att manuellt godkänna varje ny inmatningsenhet. Även om detta kan upplevas som ett extra steg i vardagen, ger det ett kraftfullt skydd mot enheter som försöker maskera sig som något annat än vad de faktiskt är. Genom att bryta den automatiska tilliten till USB-protokollet kan man stoppa attacken innan den hinner starta.

Fysiska och tekniska barriärer

För den som kräver högsta möjliga säkerhet finns det fysiska lösningar såsom USB-kondomer, vilka är små adaptrar som blockerar datatrafik men tillåter strömförsörjning. Även om detta främst är användbart för laddning, visar det på behovet av att kontrollera informationsflödet i portarna. När det gäller webbkameror kan man välja modeller som har fysiska linsskydd, men det hindrar tyvärr inte de logiska attackerna mot operativsystemet. Därför bör man också regelbundet kontrollera om tillverkaren har släppt säkerhetsuppdateringar för enhetens firmware för att täppa till kända hål.

Ett annat lager av försvar är att begränsa användarrättigheterna på den dagliga arbetsmaskinen. Om man inte kör som administratör blir det betydligt svårare för ett injicerat skript att göra permanenta ändringar i systemet eller installera dolda bakdörrar. Operativsystemet kommer då att efterfråga ett lösenord för kritiska ändringar, vilket stoppar den automatiserade attacken i dess spår. Genom att kombinera tekniska kontroller med ett sunt skeptiskt beteende kan man drastiskt minska risken för att ens egen webbkamera någonsin vänder sig mot en själv.

• Köp endast kringutrustning från välkända och pålitliga tillverkare

• Använd programvara som kräver godkännande av nya USB-enheter

• Undvik att använda okända USB-minnen eller laddkablar

• Arbeta med begränsade användarrättigheter för att stoppa skript

• Håll utkik efter onormalt beteende eller snabba fönsteröppningar