視訊攝影機經過改造，可作為入侵使用者網路的媒介

資安業者Vectra旗下的威脅實驗室在本周展示如何改裝市售的視訊攝影機，以讓它成為入侵使用者網路的媒介，包括可用來傳送命令，或竊取使用者的資料。

Vectra的研究人員是在Amazon站上採購了訂價約30美元的D-Link無線視訊攝影機，然後拆下該攝影機的印刷電路版，接上駭客工具Bus Pirate，以存取該電路板上的快閃唯讀記憶體內容，發現它採用的是Linux核心與映像檔，繼之利用工具在此一Linux系統上嵌入回撥後門（callback backdoor），還設計了重刷功能，以防使用者更新韌體時移除了後門。

在重新包裝後，研究人員即可持續遠端存取該視訊攝影機，把該攝影機當作代理機制，可用來傳遞駭客命令到使用者的網路上，或是透過該攝影機將所竊取的資料送出。

Vectra澄清，這並不代表D-Link的無線視訊攝影機含有重大的安全問題，他們以合理的價格買到了該產品，要求30美元的視訊攝影機製造商提供可靠平台模組（Trusted Platform Module，TPM）或特製晶片來驗證軟體更新的內容與簽章是非常不切實際的。

此一展示只是為了強調入侵相關裝置的門檻其實不高，而且就算是最基本的裝置都能成為持久的命令暨控制媒介，同時也會影響網路安全。

Vectra進行該實驗的原因來自於物聯網的熱潮與安全議題，雖然已有資安專家警告物聯網將成為駭客的下一個樂園，但反對者則說物聯網裝置並未儲存有價值的資訊，也沒有太多資源，對駭客並無太大吸引力，Vectra則證明了物聯網裝置還是可成為入侵使用者網路的媒介並帶來安全風險。