10年前资安研究室Security Research Labs（SR Labs）于黑帽大会揭露BadUSB攻击手法，攻击者藉由改写USB控制器，就能将USB装置用于不法，不久后有两名研究人员DerbyCon展示概念验证手法，使得这种资安威胁受到外界关注，但过往通常是攻击者打造特製的装置来进行，如今有资安业者指出，他们能透过特定型号的USB网路摄影机来进行这类攻击。

资安业者Eclypsium于上週举行的资安大型会议DEF CON 33（DEF CON 2025）议程里，揭露名为BadCam的网路摄影机漏洞，攻击者一旦利用这个弱点，就能远端秘密注入键盘输入的内容，并在受害电脑的作业系统之外从事攻击行动。此漏洞被登记为CVE-2025-4371，影响联想特定型号的网路摄影机。对此，联想发布资安公告说明，指出该漏洞影响510 FHD与Performance FHD两款装置，攻击者有机会在实际接触到装置的情况下，透过USB连线写入任意韧体，该公司发布4.8.0版韧体进行修补。

针对上述漏洞发生的原因，Eclypsium指出，这些网路摄影机执行Linux作业系统，但不会验证韧体，使得攻击者有机可乘，将其变成BadUSB装置，这是首度出现将正常USB装置用于恶意行为的案例。虽然这次调查针对两款联想的网路摄影机进行分析，但Eclypsium认为，其他网路摄影机或是USB週边设备，也可能存在相关弱点。

对于攻击的途径，Eclypsium指出可能有两种，一种是由攻击者寄送已被植入后门的网路摄影机，或是实际将武器化的摄影机接上目标电脑；另一种是远端入侵电脑，然后感染连接的网路摄影机来达到目的。

值得留意的是，一旦攻击者完全控制以Linux作业系统打造的USB外接装置，也可能透过Wi-Fi无线网路或是蓝牙，用来从事其他攻击，再者，防守方想要侦测相关攻击也备受挑战，因为恶意USB装置很有可能重新感染受害电脑，使得攻击者能隐匿自身的行蹤下持续活动。