近日，网络安全领域迎来了一次引人深思的演示，网络安全专家Andrey Konovalov在POC 2024活动中，公开了一项名为Lights Out的概念验证程序。该程序通过更新固件的方式，能够在用户毫不知情的情况下，关闭笔记本电脑上的LED指示灯，从而悄无声息地进行摄录像操作。
Konovalov不仅在POC 2024活动中进行了演示，还在Github上分享了Lights Out的源代码。这一源代码展示了如何在不直接物理接触笔记本的情况下，通过软件手段控制ThinkPad X230型号笔记本电脑上的网络摄像头LED灯状态。这意味着，即便用户认为摄像头已关闭，实际上它仍可能在运作。
Konovalov选择了联想ThinkPad X230作为演示对象，但他同时指出，这一漏洞可能不仅限于ThinkPad X230。由于许多笔记本电脑制造商在设计时采用了类似的模式，即通过USB连接网络摄像头并允许重刷其固件，因此其他主流笔记本同样可能面临这一风险。这一发现无疑为网络安全领域带来了新的挑战。
具体到该漏洞的细节，ThinkPad X230及其同期主流笔记本的摄像头通常基于Ricoh R5U8710 USB摄像头控制器。这一控制器的固件SROM部分存储在摄像头电路板的SPI闪存芯片上，且可通过USB接口进行重刷。这意味着攻击者有可能通过软件手段修改固件，进而控制摄像头的行为，包括LED灯的开关状态。
在ThinkPad X230的摄像头电路板上，LED灯连接到R5U8710控制器的GPIO B1引脚。这一引脚映射到控制器内部基于8051的CPU的XDATA存储空间中的0x80地址。因此，通过修改这一地址的值，攻击者就可以改变LED灯的状态，无论摄像头是否正在传输视频。这一机制使得攻击者能够在用户毫无察觉的情况下进行摄录像。
面对这一漏洞，Konovalov提出了一个简单而有效的防御措施：物理遮挡。他指出，目前大多数笔记本电脑都配备了摄像头盖子，用户可以在不使用摄像头时将其盖住。即使没有专门的盖子，用户也可以采取类似扎克伯格的做法，使用胶带等物品物理遮挡摄像头，以防止被恶意利用。
