Zoom Flaw transformă Mac Cam în Spy Cam | Securitate cibernetică


De John P. Mello Jr.

10 iulie 2019 9:42 PT

Un cercetător de securitate a găsit un defect în aplicația populară de videoconferință Zoom care ar putea fi utilizată pentru a porni camera pe un computer Macintosh fără permisiunea unui utilizator.

Vulnerabilitatea permite oricărui site să se alăture forțat unui utilizator la un apel Zoom, cu camera video activată, fără permisiunea unui utilizator,
a explicat Jonathan Leitschuh într-un post publicat luni pe Medium.

Leitschuh este un inginer software de la Gradle, un proiect software open source, cu sediul în San Francisco. Articolul său demonstrează cum să încorporați codul într-un site web, astfel încât utilizatorii Zoom care aterizează acolo să fie conectați instantaneu la o întâlnire cu camerele video care rulează.

Codul ar putea fi folosit într-un anunț rău intenționat sau într-o campanie de phishing, a scris el.

Utilizator în Control complet

Zoom
a contrazis unele dintre concluziile lui Leitschuh într-un post de luni de Chief Information Officer Richard Farley, incluzând afirmația potrivit căreia o gazdă a întâlnirii ar putea transforma implicit un videoclip al unui participant.

Gazdele sau participanții nu pot înlocui setările audio și video ale unui utilizator, a scris Farley. Aceasta include activarea sau dezactivarea camerei.

Ar fi dificil pentru utilizatorii necinstiți să-și ascundă participarea la o întâlnire, a susținut Farley.

"Deoarece interfața cu utilizatorul Zoom rulează în prim-plan la lansare, este ușor de înțeles pentru utilizator că s-au alăturat neintenționat unei întâlniri și puteau schimba setările video sau să plece imediat", a scris el.

Zoom nu a văzut o singură instanță a vulnerabilității Leitschuh exploatată în sălbăticie, a scris Farley.

Cu toate acestea, în următorul upgrade de la Zoom, utilizatorii vor putea să aplice automat setările pe care le-au utilizat pentru prima sesiune de zoom la toate sesiunile viitoare, a remarcat el.

Vizați-vă pe Înapoi

Leitschuh a constatat, de asemenea, că vulnerabilitatea pe care a descoperit-o ar putea fi utilizată pentru a lansa un atac de refuz al unui serviciu asupra unei mașini individuale. Ar fi permis trimiterea solicitărilor de întâlnire repetate la un Mac, care ar putea să-l blocheze în cele din urmă.

"Nu avem nici un indiciu că acest lucru sa întâmplat vreodată", a scris Farley.

Cu toate acestea, el a recunoscut că compania a lansat o remediere a problemei în luna mai, deși Zoom nu și-a forțat utilizatorii să se actualizeze, deoarece era în mod empiric o vulnerabilitate cu risc scăzut.

Leitschuh a criticat instalarea de către Zoom a codului serverului Web pentru a permite clientului său să actualizeze și să instaleze noi versiuni. Acest cod rămâne pe o mașină, chiar dacă Zoom este dezinstalat de pe un computer.

"Având la fiecare utilizator Zoom un server Web care acceptă cererile HTTP GET care declanșează codul în afara căsuței de cerneală a browserului pictează o țintă uriașă pe spatele Zoom-ului", a scris el.

Leitschuh nu este singurul în critica lui despre Zoom.

"Lăsarea unui server care rulează chiar și după dezinstalare este inacceptabilă", a declarat Martin Hron, cercetător de securitate la
stai, cu sediul în Praga, Republica Cehă. Avast realizează software de securitate, inclusiv programe antivirus pentru Mac.

Lucrul în jurul valorii de Poor UX

Serverul Web cu funcționalitate limitată a fost o soluție pentru a se potrivi modificărilor efectuate în Safari 12, a explicat Farley. Aceste modificări solicită utilizatorilor să confirme că doresc să lanseze clientul Zoom de fiecare dată când s-au alăturat unei întâlniri. Serverul Web local permite utilizatorilor să se alăture direct întâlnirilor fără a trece prin acel pas.

"Considerăm că aceasta este o soluție legitimă pentru o problemă de experiență slabă a utilizatorilor, permițând utilizatorilor să aibă întâlniri mai rapide, cu un clic pe altul", a scris Farley.

"Nu suntem singuri printre furnizorii de videoconferințe în implementarea acestei soluții", a adăugat el.

Nu există nicio modalitate ușoară de a elimina atât aplicația Zoom client, cât și aplicația serverului web pe un Mac după lansarea clientului Zoom, a recunoscut Farley, dar a adăugat că o nouă aplicație de dezinstalare a ambelor fișiere este așteptată în acest weekend.

Până atunci, utilizatorii ar trebui să dezactiveze setarea care pornește camera după aderarea la o întâlnire, precum și să nu permită unui browser să deschidă automat aplicația Zoom pentru legăturile de transfocare, a declarat Aron Hron pentru TechNewsWorld.

Confidențialitatea coșmarului

Vulnerabilitatea ar putea fi o veste proastă pentru utilizatorii Mac de la Zoom, care numără mai mult de 4 milioane, potrivit lui Leitschuh.

"Chiar daca cei mai multi utilizatori Zoom sunt in intreprindere, ei sunt inca consumatori, iar aceasta vulnerabilitate ar putea duce la un coșmar intim, daca computerele lor de lucru sunt folosite acasa sau din motive personale", a spus Hron.

"Orice site web poate activa clientul Zoom cu activarea fluxului video, ceea ce ar putea transforma în mod esențial o sesiune de navigare casual într-o invazie serioasă a confidențialității în casă", a explicat el.

Având camera și audio-ul activat pe Mac-ul dvs. fără știrea dvs. poate crea un număr de scenarii cu rezultate proaste, a sugerat Greg Young, vicepreședinte pentru Cybersecurity la Trend Micro, un furnizor de soluții pentru securitatea cibernetică cu sediul în Tokyo.

"Unul dintre aceste rezultate ar putea fi folosirea filmului capturat sau capturi de ecran pentru șantaj", a declarat el pentru TechNewsWorld.

"Alta este atunci când introduceți informații de pe cardul de credit online, noi toți ținem cardul în fața noastră în vederea camerei și, de obicei, o răsturnăm cel puțin o dată", a spus Young.

De asemenea, companiile ar trebui să fie îngrijorate, a remarcat Adam Kujawa, director de laborator la
Malwarebytes, un producător de software pentru antimalware pentru Microsoft Windows, MacOS, Android și iOS din Santa Clara, California.

"Dacă ceva spus și arătat pe aparatul foto poate fi spionat, acesta poate fi foarte periculos pentru o companie cu o mulțime de IP-uri care să se ascundă", a declarat el pentru TechNewsWorld.

Greu de armat, ușor de exploatat

Defecțiunea ar fi dificilă pentru infractorii cibernetici să armeze în orice formă eficientă, a spus Kujawa, dar ușurința de exploatare ar invita rău.

"Doar trimiteți un e-mail convingător cu un link care indică un server localhost și așteptați ca utilizatorii să facă clic", a observat el, "sau să îl împărtășească pe social media."

Este practica din industrie de a oferi unui producător de software 90 de zile să remedieze defectele găsite de vânătorii de bug-uri.

"Din păcate, Zoom nu a stabilit această vulnerabilitate în fereastra de dezvăluire a 90 de zile pe care i-am dat-o, așa cum este standardul industrial", a scris Leitschuh. "Cei patru milioane de utilizatori ai aplicației Zoom on Mac sunt acum vulnerabili la invazia vieții private prin utilizarea acestui serviciu."


John P. Mello Jr. a fost reporter al rețelei de știri ECT
din 2003. Domeniile sale de concentrare includ securitatea informatică, problemele IT, intimitatea, comerțul electronic, mass-media sociale, inteligența artificială, datele mari și electronica de consum. A scris și editat pentru numeroase publicații, printre care și Boston Business Journal,
Boston Phoenix. Megapixel.Net și Guvern
Știri de securitate
. E-mail pe John.

.



Cititi mai mult pe technewsworld.com

Lasă un răspuns