अधिकांश वेबकैम में एक चेतावनी प्रकाश होता है जो इंगित करता है कि वे कब सक्रिय हैं, लेकिन मैलवेयर के लिए इसे अक्षम करना संभव है जॉन्स हॉपकिन्स यूनिवर्सिटी (JHU) के शोध के अनुसार पुराने मैक कंप्यूटरों पर महत्वपूर्ण गोपनीयता सुविधा बाल्टीमोर।
जेएचयू के सहायक अनुसंधान प्रोफेसर स्टीफन चेकोवे और स्नातक छात्र मैथ्यू ब्रॉकर ने पहली पीढ़ी के आईसाइट के हार्डवेयर डिजाइन की जांच की 2008 से पहले जारी किए गए Apple के iMac और MacBook कंप्यूटरों में स्थापित वेबकैम मॉडल और पाया कि इसके फर्मवेयर को आसानी से अक्षम करने के लिए संशोधित किया जा सकता है सूचक एलईडी।
हार्डवेयर स्तर पर, एलईडी सीधे वेबकैम के इमेज सेंसर से जुड़ा होता है, विशेष रूप से इसका स्टैंडबाय पिन। जब STANDBY सिग्नल सक्रिय होता है तो LED बंद होता है और जब सक्रिय नहीं होता है, तो LED चालू होता है, JHU के शोधकर्ताओं ने हाल ही में जारी एक रिपोर्ट में कहा कागज़.
एलईडी को निष्क्रिय करने के लिए, शोधकर्ताओं को स्टैंडबाय को सक्रिय करने का एक तरीका खोजना था, लेकिन इसे अनदेखा करने के लिए इमेज सेंसर को भी कॉन्फ़िगर करना था क्योंकि जब STANDBY सक्रिय हो जाता है तो इमेज सेंसर आउटपुट स्वचालित रूप से अक्षम हो जाता है, इसलिए कैप्चर करने के लिए वेबकैम का उपयोग नहीं किया जा सकता है इमेजिस।
इसे प्राप्त करने के लिए शोधकर्ताओं ने iSight फर्मवेयर का एक संशोधित संस्करण बनाया और फिर से प्रोग्राम किया इसके साथ कैमरा, एक ऐसी विधि का उपयोग करके जिसमें होस्ट से विक्रेता-विशिष्ट USB डिवाइस अनुरोध भेजना शामिल है ओएस। उन्होंने पाया कि इस ऑपरेशन के लिए रूट विशेषाधिकारों की आवश्यकता नहीं है और इसे एक नियमित उपयोगकर्ता खाते द्वारा शुरू की गई प्रक्रिया से किया जा सकता है।
JHU के शोधकर्ताओं ने iSeeYou नामक एक प्रूफ-ऑफ-कॉन्सेप्ट एप्लिकेशन बनाया है जो यह पता लगाता है कि iSight वेबकैम है या नहीं स्थापित, इसे संशोधित फर्मवेयर के साथ पुन: प्रोग्राम करता है और फिर उपयोगकर्ता को कैमरा शुरू करने और अक्षम करने की अनुमति देता है अगुआई की। जब iSeeYou एप्लिकेशन बंद हो जाता है, तो कैमरे को मूल, अपरिवर्तित फ़र्मवेयर के साथ फिर से प्रोग्राम किया जाता है।
उपयोगकर्ताओं को बिना जाने उनकी जासूसी करने के अलावा, iSight कैमरे को आसानी से रीप्रोग्राम करने की क्षमता हो सकती है शोधकर्ताओं ने मैलवेयर को एक वर्चुअल मशीन के अंदर चलने वाले ऑपरेटिंग सिस्टम से बचने की अनुमति भी दी कहा।
प्रदर्शित करने के लिए, उन्होंने वर्चुअलबॉक्स के अंदर चल रहे अतिथि ओएस से कैमरे को दोबारा प्रोग्राम किया- एक वर्चुअल मशीन प्रोग्राम-एक ऐप्पल यूएसबी कीबोर्ड के रूप में कार्य करने के लिए। इसने उन्हें मुख्य प्रेस भेजने की अनुमति दी जो कीबोर्ड के स्वामित्व को अतिथि OS से होस्ट OS में स्थानांतरित कर दिया और फिर होस्ट OS पर शेल कमांड निष्पादित किया।
JHU के शोधकर्ताओं ने न केवल iSight की कमजोरी का दस्तावेजीकरण किया, बल्कि सॉफ्टवेयर और हार्डवेयर दोनों स्तरों पर, उन हमलों के खिलाफ बचाव का भी प्रस्ताव दिया, जो इसका फायदा उठाने की कोशिश कर सकते हैं। उन्होंने iSightDefender नामक एक Mac OS X कर्नेल एक्सटेंशन का निर्माण किया जो विशिष्ट USB डिवाइस अनुरोधों को ब्लॉक करता है जिसका उपयोग दुष्ट फ़र्मवेयर को कैमरे में भेजे जाने से लोड करने के लिए किया जा सकता है।
यह कर्नेल एक्सटेंशन हमलावरों के लिए बार उठाता है क्योंकि उन्हें इसे बायपास करने के लिए रूट एक्सेस की आवश्यकता होगी। हालांकि, सबसे व्यापक बचाव कैमरे के हार्डवेयर डिजाइन को बदलना होगा ताकि सॉफ्टवेयर द्वारा एलईडी को निष्क्रिय न किया जा सके, शोधकर्ताओं ने कहा।
इसे कैसे प्राप्त किया जा सकता है, साथ ही फ़र्मवेयर अपडेट प्रक्रिया को सुरक्षित करने के तरीकों के बारे में कई प्रस्ताव पेपर में प्रस्तुत किए गए हैं।
शोधकर्ताओं ने कहा कि उन्होंने रिपोर्ट और उनके प्रूफ-ऑफ-कॉन्सेप्ट कोड को Apple को भेज दिया है, लेकिन उन्हें किसी भी संभावित शमन योजना के बारे में सूचित नहीं किया गया है।
Apple ने टिप्पणी के अनुरोध का तुरंत जवाब नहीं दिया।
हाल के वर्षों में ऐसे मामलों की संख्या में वृद्धि हुई है जिनमें हैकर्स ने पीड़ितों-मुख्य रूप से महिलाओं-उनके बेडरूम और अन्य निजी सेटिंग्स में उनके वेबकैम के माध्यम से जासूसी की।
"सेक्सटॉर्शन" का एक हालिया मामला - पीड़ितों की अवैध रूप से प्राप्त नग्न तस्वीरों का उपयोग करते हुए - 19 वर्षीय कासिडी वुल्फ, 2013 मिस टीन यूएसए खिताब की विजेता शामिल थी।
सितंबर में, FBI ने कैलिफोर्निया के टेम्कुला से जेरेड अब्राहम नाम के एक 19 वर्षीय व्यक्ति को इस आरोप में गिरफ्तार किया कि उसने हैक किया था। वुल्फ सहित कई महिलाओं के सोशल मीडिया अकाउंट्स को रिमोट से नियंत्रित करके उनकी नग्न तस्वीरें लीं वेबकैम। फिर उसने कथित तौर पर पीड़ितों से संपर्क किया और उनके सोशल मीडिया प्रोफाइल पर तस्वीरें पोस्ट करने की धमकी दी जब तक उन्होंने उसे और नग्न तस्वीरें और वीडियो नहीं भेजे या वह नहीं किया जो उसने स्काइप वीडियो में पांच मिनट के लिए मांगा था चैट।
भेड़िया मीडिया साक्षात्कार में कहा उसे इस बात का अंदाजा नहीं था कि कोई उसके वेबकैम के माध्यम से उसे देख रहा है क्योंकि कैमरे की रोशनी नहीं जा रही थी।
जेएचयू के शोधकर्ताओं ने अपने पेपर में कहा कि ऐसे हैकर हैं जो रिमोट एडमिनिस्ट्रेशन टूल्स (आरएटी) को बंडल करते हैं जो वेबकैम से वीडियो और ध्वनि रिकॉर्ड कर सकते हैं। हैकर मंचों पर चर्चा सूत्र के आधार पर इनमें से कई व्यक्ति, जिन्हें "रैटर" के रूप में जाना जाता है, वेबकैम एल ई डी को अक्षम करने की क्षमता में रुचि रखते हैं, लेकिन यह नहीं सोचते कि यह संभव है, वे कहा।
इस नए शोध से पता चलता है कि कम से कम कुछ कंप्यूटरों पर यह संभव है।
"इस पेपर में, हमने एक निर्माता द्वारा उत्पादित वेबकैम की केवल एक पीढ़ी की जांच की है," शोधकर्ताओं ने कहा। "भविष्य के काम में, हम नए ऐप्पल वेबकैम (जैसे उनके सबसे हालिया हाई-डेफिनिशन फेसटाइम कैमरे) और साथ ही अन्य लोकप्रिय लैपटॉप में स्थापित वेबकैम ब्रांड।
सुरक्षा विशेषज्ञों ने अतीत में उपयोगकर्ताओं को अपने वेबकैम को कवर करने की सलाह दी है जब उनके कंप्यूटर से छेड़छाड़ होने की स्थिति में जासूसी से बचने के लिए उनका उपयोग नहीं किया जाता है।