Webcam MacBook ongezien in te schakelen
Het lampje dat op een MacBook en iMac-desktop aangeeft dat de webcam is ingeschakeld, is uit te schakelen zodat gebruikers zonder dat ze het weten bespioneerd kunnen worden. Dat laten beveiligingsonderzoekers van de Johns Hopkins Universiteit in een onderzoeksrapport weten.
Normaliter gaat bij de ingebouwde iSight-camera, zodra die wordt ingeschakeld, het waarschuwingslampje aan. Volgens de onderzoekers is dit een belangrijke "privacyfeature", die moet voorkomen dat gebruikers ongezien worden bespioneerd. Om het waarschuwingslampje uit te schakelen besloten de onderzoekers de firmware van de iSight-camera te herprogrammeren, zodat die kan worden uitgeschakeld.
De techniek voor het herprogrammeren van de microcontroller maakt het ook mogelijk om uit een Virtual Machine te ontsnappen. De malware die in de Virtual Machine draait kan de webcam herprogrammeren, zodat die vervolgens als een keyboard werkt. De malware kan via dit "keyboard" shellcommando's op het onderliggende besturingssysteem uitvoeren.
Demonstratie
Als bewijs ontwikkelden informaticaprofessor Stephen Checkoway en student Matthew Brocker twee demonstraties. De eerste demonstratie is een OS X-applicatie genaamd iSeeYou. Deze applicatie maakt opnames via de webcam, waarbij het waarschuwingslampje is uitgeschakeld. Daardoor is het niet alleen mogelijk om gebruikers zonder dat ze het weten te bespioneren, het kan ook worden gebruikt als onderdeel van een aanval waarbij wordt geprobeerd om gezichtsherkenningsauthenticatie te kraken.
De tweede demonstratie bestaat een "virtual machine escape", waarbij Terminal.app wordt gestart die vervolgens shellcommando's uitvoert. Om deze en gerelateerde dreigingen te voorkomen ontwikkelden de onderzoekers ook een uitbreiding voor de OS X-kernel genaamd iSightDefender, die de aanpassing van de iSight-firmware vanuit user space niet toestaat. Wat betreft het uitschakelen van het lampje geven de onderzoekers het advies dat de enige echte oplossing een hardwarematige oplossing is.
Dus de door hun gebruikte methode werkt alleen op de modellen tot ca eind 2008. Dat is natuurlijk geen garantie is dat dit niet via een andere methode mogelijk is met nieuwere modellen.
Dus de door hun gebruikte methode werkt alleen op de modellen tot ca eind 2008. Dat is natuurlijk geen garantie is dat dit niet via een andere methode mogelijk is met nieuwere modellen.
In het paper staat dat ze van plan zijn nieuwere modellen te onderzoeken.
Inderdaad geen garantie dat die beter zijn, alleen maar een statement 'de nieuwe zijn anders en daar moeten we nog één van opofferen om te kijken' .
Ik vond het een boeiend paper. En als je naar het schema kijkt (op pagina 3) dan is tenminste toch wel de bedoeling geweest om de LED echt aan de hardware te koppelen, niet zomaar een puur driver-bestuurbare aan/uit led.
Wel, dan moet je het paper lezen. Inderdaad een slimme truuk.
De hoofdzaak is dat een USB device een andere rol kan nemen, zoals ook keyboard/muis input.
Het paper gebruikt het voorbeeld om vanuit een virtual machine te ontsnappen, als de camera 'doorgelust' is naar de guest in de VM.
(Dat je met code _op de host_ shell commando's kunt uitvoeren is an sich natuurlijk niet zo spannend dat doe je als user al., en dat via de webcam doen is alleen maar omslachtig. Dat code *in een VM* shell commando's *op de host* doet is de truuk, en inderdaad een security issue.
In een ander artikel ook wel zo samengevat
https://www.security.nl/posting/373164/Webcam+ook+op+Windows+ongezien+aan+te+zetten
Heb het rapport gelezen.
Wat er aan details wèl wordt gegeven geeft redenen te vermoeden dat er op punten zeker wat op af te dingen valt.
De ontbrekende details en op delen ontbrekende voorbeelden geven nòg meer reden tot een sterk vermoeden dat er op belangrijke punten in 'het aangetoonde' wat op aan te merken valt.
Het kost wel nogal wat tijd die vermoedens te onderbouwen op basis van informatie die het onderzoeksrapport juist niet geeft.
Een deel daarvoor heb ik, de rest vinden en doorspitten kost de nodige tijd. Evengoed is het eigenlijk (waarschijnlijk) al veel te laat om op deze plek nog een lezer te treffen.
Dezelfde dag snel reageren en onderbouwing zoeken/formuleren gaan nu eenmaal soms niet samen, helaas.
Daarnaast heb ik onvoldoende kennis van programmacode en ben daardoor :
a) niet in staat de iSightDefender code om te zetten naar een app.
b) niet in staat deze code te analyseren op wat het doet.
c) niet in staat hieruit (reverse) af te leiden wat de originele 'ontdekte' gebruikte route van de exploitwijze is (een fake firmware update voor een camera? Hoe, via, wat?).
d) niet in staat op basis hiervan af te leiden waartegen de isightdefender kernel extension exact c.q. op welke wijze zij nu precies bescherming biedt. (specifiek alleen tegen de eigen exploit?)
Elke kwetsbaarheid verdient de aandacht,
dat het gelukt is aangepaste firmwarecode / een softwareprogramma te schrijven daar twijfel ik niet aan, op overige punten ben ik echt niet overtuigd (maar kennelijk de enige als ik de vele nieuwsberichten hierover doorneem).
Als ik een zinnig / onderbouwd tegengeluid 'rond' krijg (de motivatie ontbreek niet) kom ik erop terug (op een andere plek op deze site) en neem ik de open 'Mac-tip-belofte' onder poll "Heb jij je webcam afgeplakt?" daarbij mee.
https://www.security.nl/posting/372062/Heb+jij+je+webcam+afgeplakt?
P.s. dit paper is vast een samenvatting, ik houd mij aanbevolen voor tips die leiden naar de uitgebreidere variant.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
