聯想網路攝影機驚傳漏洞：BadUSB攻擊的新興載體

在我們日常生活中，網路攝影機（Webcam）已成為不可或缺的數位周邊設備，無論是遠端辦公、線上會議，或是家庭監控，其應用日益普及。然而，一項由資安研究團隊Eclypsium所揭露的重大漏洞，卻為這些看似無害的設備敲響了警鐘。這些漏洞被統稱為「BadCam」，它們存在於聯想（Lenovo）的特定型號網路攝影機中，包括510 FHD和Performance FHD。駭客可利用這些漏洞，將基於Linux系統的網路攝影機，轉變為惡名昭彰的「BadUSB」[註]攻擊裝置，並在無需依賴主機作業系統的情況下，發動各種惡意攻擊。

[註]「BadUSB 攻擊設備」是一類利用 USB 裝置韌體惡意修改來進行攻擊的工具。它不是單純的病毒檔案，而是直接改動了 USB 裝置（例如隨身碟、鍵盤、滑鼠、USB 無線網卡等）的控制晶片韌體，讓裝置在插入電腦時偽裝成其它高權限的 USB 裝置，藉此執行惡意行為。

這項驚人的研究成果是在著名的DEF CON 33資安大會上發表的。它的重要性在於，這是首次證明一個最初設計並非惡意的USB週邊設備，可以被遠端武器化，成為攻擊者發動BadUSB攻擊的載體。這與傳統的BadUSB攻擊手法大相徑庭。過去，BadUSB攻擊通常需要駭客事先將惡意韌體寫入USB裝置，然後實體接觸目標電腦來進行。但「BadCam」的發現，意味著攻擊者現在可以遠端遙控，將目標電腦的網路攝影機，在使用者毫無察覺的情況下，轉變成惡意裝置。
 

BadCam漏洞攻擊原理與手法

這項攻擊的關鍵在於，攻擊者可以遠端劫持一個已連接的、由Linux驅動的網路攝影機，並重新刷新其韌體。韌體（firmware）是嵌入在硬體中的低階軟體，負責控制硬體的運作。由於聯想的這些攝影機沒有對韌體進行驗證，攻擊者可以將惡意韌體植入其中，從而完全控制攝影機的軟體。

一旦韌體被惡意刷新，網路攝影機便會偽裝成惡意的「人機介面裝置」（Human Interface Device, HID）。HID是一種泛稱，包括鍵盤、滑鼠等，其特點是電腦會自動信任這類裝置，並接受其指令。當攝影機被武器化為惡意的HID裝置後，它便可以模擬鍵盤輸入，遠端注入惡意程式碼、傳送惡意酬載，甚至建立一個持久性的後門，讓攻擊者能夠進行更深層次的系統入侵。

這種攻擊方式最令人擔憂的是其高度的持久性。由於惡意韌體存在於攝影機的硬體層，而非主機電腦的作業系統中，即使使用者將電腦格式化並重新安裝作業系統，這個威脅依然會持續存在，因為惡意韌體不會被清除。這也凸顯了一個長久以來的資安盲點：電腦常常無條件信任其連接的週邊設備，而這些週邊設備本身可能擁有自己的作業系統，並可以接受遠端指令，成為潛在的資安威脅。
 

企業與個人的資安啟示

BadUSB攻擊最早於2014年被揭露，它利用USB韌體中的漏洞來執行惡意程式。與傳統惡意軟體不同的是，BadUSB程式碼存在於韌體層，這使得傳統的防毒軟體難以偵測。近年來，以經濟利益為主的威脅集團FIN7，也曾被發現透過郵寄惡意USB裝置給企業員工，以植入勒索軟體或木馬程式。而「BadCam」的發現，則將這種攻擊從實體接觸擴展到了遠端攻擊，使攻擊範圍更為廣泛，防禦難度也隨之提升。

Eclypsium研究人員在2025年4月以負責任的方式將漏洞揭露給聯想。聯想也迅速做出回應，發布了韌體更新版本（4.8.0）來緩解這些漏洞。此外，聯想也與其晶片合作夥伴SigmaStar合作，發布了一個修復工具，以幫助用戶解決這個問題。這再次凸顯了負責任漏洞揭露和及時修補的重要性。

此次事件為企業和個人帶來了重要的啟示。首先，企業應當重新審視其端點安全策略，並將週邊設備納入考量範圍。其次，應確保所有設備的韌體都是最新的，並在可能的情況下，僅使用已簽章或經過驗證的韌體。對於個人用戶而言，定期更新設備韌體，並提高對未知風險的警覺性，也是保護自身資訊安全的重要一環。在一個萬物互聯的時代，我們必須認識到，任何一個看似無害的週邊設備，都可能成為駭客入侵的管道。

資料來源：https://thehackernews.com/2025/08/linux-based-lenovo-webcams-flaw-can-be.html