Advierten sobre una vulnerabilidad en Zoom que permite obtener acceso remoto a la máquina del usuario

Además, se pusieron a la venta más de medio millón de credenciales de Zoom y hasta se detectó que se pueden averiguar las contraseñas de las personas en el 75% de los casos leyendo su lenguaje corporal, dependiendo de la resolución de su cámara.

El hecho de proteger la privacidad de los usuarios de la plataforma se volvió de especial importancia cuando varias instituciones de gobierno comenzaron a hacer compras importantes de productos de Zoom Messenger. Tan solo en Estados Unidos, diferentes dependencias de su gobierno gastaron un total de 1.4 millones de dólares en Zoom.

El nivel de atención fue tan grande que la mundialmente famosa competencia de hacking Pwn2Own decidió agregar una categoría de ‘Comunicaciones empresariales’ para fomentar la investigación en seguridad sobre Zoom y Microsoft Teams, ofreciendo una recompensa de $200,000 a quienes pudieran demostrar con éxito un ataque 0-day. Se les llama ataques de “día cero” a las vulnerabilidades más recientes, para las cuales aún no existe un parche de seguridad.

Daan Keuper y Thijs Alkemade, miembros del departamento de investigación de Computest, decidieron aceptar este desafío y comenzaron a investigar sobre Zoom. Durante la Ekoparty 2021, presentaron por primera vez en Latinoamérica los resultados de su investigación, que culminó en un exploit funcional contra la entonces última versión de Zoom, que le daría al atacante control total sobre el sistema de la víctima. Por este hallazgo, los investigadores recibieron la máxima recompensa de la competencia.

“Durante esta charla llamada Hackeando el software más popular de la pandemia: Zoom, contamos cómo comenzó la investigación, explicaremos las vulnerabilidades que encontramos y, finalmente, cómo esas vulnerabilidades se incorporaron al mecanismo de explotación que completó el ataque, logrando tomar posesión de la máquina afectada”, explicó Thijs Alkemade.

La 17° edición de Ekoparty tuvo lugar del 2 al 6 de noviembre, y los participantes asistieron a esta y otras 160 charlas, workshops y actividades de hacking y ciberseguridad. La mayor parte del evento fue online, con algunas actividades presenciales en Buenos Aires y Chile.

Fuente Ambito