基于Linux系统的联想网络摄像头漏洞可被远程利用发起BadUSB攻击

网络安全研究人员披露称，部分联想摄像头型号存在漏洞，可能被攻击者转化为 BadUSB 攻击设备。

“这使得远程攻击者能够隐蔽地注入按键指令，并在不依赖宿主操作系统的情况下发动攻击。”固件安全公司 Eclypsium 的研究员 Paul Asadoorian、Mickey Shkatov 和 Jesse Michael 在与 The Hacker News 分享的报告中表示。该漏洞被命名为 BadCam，并于今日在 DEF CON 33 安全大会上首次公布。

这很可能是首次证明，威胁行为者一旦掌控了已经连接到计算机的基于 Linux 的 USB 外设，就能将其武器化用于恶意行为。

在假设的攻击场景中，攻击者可以利用该漏洞向受害者寄送植入后门的摄像头，或在获得物理接触的情况下将其接入目标电脑，然后通过远程指令控制计算机并开展后续攻击。

BadUSB 攻击最早在 2014 年由安全研究员 Karsten Nohl 和 Jakob Lell 在 Black Hat 大会上演示。这类攻击利用了 USB 固件层面的先天漏洞，可对其重新编程，从而在受害者电脑上悄悄执行命令或运行恶意程序。

正如 Ivanti 公司上月末在一份威胁解读中所述：“与传统存在于文件系统、可被杀毒软件发现的恶意软件不同，BadUSB 潜藏在固件层。一旦连接到计算机，BadUSB 设备可以模拟键盘输入恶意指令、安装后门或键盘记录器、重定向网络流量，甚至窃取敏感数据。”

近年来，谷歌旗下的 Mandiant 与美国联邦调查局（FBI）均曾警告，名为 FIN7 的以经济利益为动机的威胁团伙曾通过邮寄“BadUSB”恶意 USB 设备给美国企业，以投递名为 DICELOADER 的恶意软件。

Eclypsium 的最新发现表明，一些运行 Linux 的 USB 外设（如网络摄像头）即便最初并无恶意用途，也可能被远程劫持并转化为 BadUSB 设备，而无需被物理拔出或替换。这意味着攻击手法有了重大升级。

研究人员指出：“攻击者一旦在系统上获得远程代码执行权限，就能重刷已连接的基于 Linux 的摄像头固件，使其伪装成恶意的人机接口设备（HID）或模拟其他 USB 设备。”

一旦被武器化，这样一台看似普通的摄像头不仅能注入按键、投递恶意载荷，还能成为长期潜伏的据点，而且对外依然保持普通摄像头的外观和功能。

此外，能够修改摄像头固件的攻击者还能实现更高等级的持久化攻击——即便受害者清空硬盘、重装操作系统，仍可能再次被感染。

此次发现的漏洞存在于 Lenovo 510 FHD 与 Lenovo Performance FHD 摄像头中，问题源于设备未对固件进行有效验证，因此在运行带有 USB Gadget 支持的 Linux 系统时，容易被彻底攻陷并用于 BadUSB 攻击。

在 2025 年 4 月向联想进行负责任披露后，该公司已发布固件更新（版本 4.8.0）以修复漏洞，并与中国芯片厂商 SigmaStar 合作推出了修补工具。

Eclypsium 表示：“这种首次被验证的攻击方式揭示了一个隐蔽但极具危害的途径：无论在企业还是消费领域，计算机往往会信任其内部和外部外设，即便这些外设本身能运行独立操作系统并接受远程指令。”

“在基于 Linux 的摄像头场景下，未签名或保护不足的固件允许攻击者不仅能控制当前宿主，还能在摄像头连接到其他设备时继续传播感染，从而绕过传统安全防护。”