Investigadores de Eclypsium han descubierto una vulnerabilidad crítica en determinados modelos de webcams Lenovo que permite transformarlas en dispositivos BadUSB capaces de inyectar pulsaciones de teclado y ejecutar comandos maliciosos de forma remota. El fallo, bautizado como BadCam (CVE-2025-4371), fue presentado en DEF CON 33 y supone la primera demostración documentada de cómo un periférico USB basado en Linux puede ser secuestrado sin ser reemplazado físicamente.
BadUSB es una técnica revelada en 2014 que explota fallos en el firmware de dispositivos USB, reprogramándolos para actuar como teclados, ratones u otros periféricos que puedan ejecutar código malicioso sin levantar sospechas. En este caso, los modelos afectados Lenovo 510 FHD y Lenovo Performance FHD no validan el firmware que reciben, lo que permite a un atacante con acceso remoto reprogramar la cámara y darle nuevas capacidades maliciosas manteniendo su funcionalidad original.
Una webcam comprometida puede:
- Inyectar comandos mediante pulsaciones de teclado simuladas.
- Instalar malware persistente como keyloggers o backdoors.
- Infectar de nuevo el equipo incluso tras un formateo.
- Propagar la amenaza a otros ordenadores al conectarse.
El riesgo se amplifica al tratarse de dispositivos con Linux y USB Gadget, lo que les permite emular otros periféricos y mantener persistencia a nivel de firmware, eludiendo detección por antivirus y sistemas de seguridad convencionales.
Recomendaciones
Lenovo, tras ser informado en abril de 2025, ha publicado una actualización de firmware (versión 4.8.0) y, junto con SigmaStar, una herramienta específica para corregir el problema. Los usuarios deben aplicar la actualización de inmediato y extremar las precauciones en entornos donde se conectan periféricos USB de terceros.
Más Información
- Linux-Based Lenovo Webcams’ Flaw Can Be Remotely Exploited for BadUSB Attacks – https://enigmasecurity.cl/ataques-497/
- CVE-2025-48371 – https://nvd.nist.gov/vuln/detail/CVE-2025-48371
- Encuentran que webcams basadas en Linux pueden ser secuestradas de manera remota – https://www.escudodigital.com/ciberseguridad/lenovo-webcam-vulnerabilidades.html
La entrada Cámaras Lenovo convertidas en armas digitales: nueva vulnerabilidad BadUSB se publicó primero en Una Al Día.
☞ El artículo completo original de Pedro Fernandez lo puedes ver aquí
No hay comentarios.:
Publicar un comentario