Acción Humana Consulting Consulting GCC Tecnología

Los agujeros de seguridad de Zoom podrían permitir a piratas informáticos controlar su PC

Dos hackers éticos, Daan Keuper and Thijs Alkemade, empleados de la empresa de ciberseguridad Computest, han descubierto una vulnerabilidad de día cero (una brecha en la seguridad del software que puede estar en un navegador o aplicación) en la plataforma de videoconferencia Zoom que podrían utilizar los ciberdelincuentes para lanzar ataques de ejecución remota de código (RCE).

La vulnerabilidad fue descubierta como parte de un concurso, Pwn2Own, organizado por Zero Day Initiative (ZDI) de la firma de ciberseguridad Trend Micro, y diseñado para profesionales de ciberseguridad de sombrero blanco que compiten en el descubrimiento de vulnerabilidades en software y servicios populares.

Las empresas ofrecen voluntariamente su software y servicios para que los participantes pirateen, y ofrecen recompensas por hacerlo. Todos ganan en Pwn2Own: los piratas informáticos ganan dinero legalmente por sus habilidades y los desarrolladores pueden hacer que su software sea más seguro. En este caso, la recompensa fue la friolera de $ 200,000USD.

De momento, no hay mucho de lo que los usuarios de Zoom tengan que preocuparse, aunque el equipo de desarrollo de la compañía tiene 90 días antes de que el exploit se haga público. Como Zoom aún no ha tenido tiempo de reparar el problema crítico de seguridad, los detalles técnicos específicos de la vulnerabilidad se mantienen en secreto.

Lo que sí se sabe es que los investigadores de Computest demostraron una cadena de ataque de tres errores que causó una falla de ejecución remota de código (RCE) como una clase de fallas de seguridad de software que permiten a un actor malintencionado ejecutar el código de su elección en una máquina remota a través de una LAN, WAN o Internet.

También sabemos que el método funciona en la versión de Windows y Mac del software Zoom, pero no afecta la versión del navegador. No está claro si las aplicaciones de iOS y Android son vulnerables, ya que Keuper y Alkemade no las investigaron.

Sin embargo, lo más alarmante es el hecho de que pudieron tomar el control del sistema remoto ejecutando el cliente Zoom sin la participación de la víctima. La explotación no requería que la víctima hiciera clic en ningún enlace ni abriera ningún archivo adjunto, teniendo la pareja un control casi completo sobre la computadora remota.

Los hackers demostraron varias acciones, como la alteración de la Cámara web y el micrófono, mirando el escritorio, leyendo correos electrónicos y descargando el historial del navegador de la víctima.

La organización Pwn2Own ha tuiteado un gif que demuestra la vulnerabilidad en acción. Se puede ver al atacante abrir la calculadora en el sistema que ejecuta Zoom:

“Nos tomamos la seguridad muy en serio y apreciamos enormemente la investigación de Computest. Estamos trabajando para mitigar este problema con respecto a Zoom Chat, nuestro producto de mensajería grupal”, dijo un portavoz de Zoom en un comunicado.”El chat en sesión en Zoom Meetings y Zoom Video Webinars no se ve afectado por el problema. Como práctica recomendada, Zoom recomienda que los usuarios acepten solo solicitudes de contacto de personas que conocen y en las que confían.”

Unos 23 equipos participaron en el concurso y también consiguieron infiltrarse en otros sistemas. Durante la competencia destacaron que Windows 10 y Chrome fueron vulnerados. Con respecto al sistema operativo de Microsoft, los competidores lograron fácilmente introducir un malware al sistema, con la posibilidad de controlarlo. Los errores por los cuales los hackers fueron reconocidos fueron: una cadena de dos errores en Microsoft Teams que condujo a la ejecución del código; y el segundo por una omisión de autenticación y escalada de privilegios para tomar el control de Microsoft Exchange. A su vez, la falla de Chrome consistió en hackear la seguridad del navegador de internet de Google. Se trata de un error tipo Type Mismatch, que, por ser descubierto, ha hecho ganar a los hackers $100.000USD.

Este evento, y los procedimientos y protocolos que lo rodean, demuestran muy bien cómo funcionan los piratas informáticos de sombrero blanco y qué significa la divulgación responsable. La eliminación de estos errores y vulnerabilidades potenciales es crucial para lograr una ciberseguridad de confianza.

About the author

Ainara Gomez

Investigadora, Consultora Junior en Goethals, Entusiasta de nuevas tecnologías que contribuyan al bienestar de las personas.

Máster en Relaciones Internacionales Iberoamericanas
Universidad Rey Juan Carlos I (Madrid, España)
Máster en Economía Internacional y Desarrollo
Universidad Complutense de Madrid (Madrid, España)
Programa de intercambio Erasmus en Université d’Auvergne (Clermont-Ferrand, Francia)
Licenciatura en Administración y Dirección de Empresas
Universidad Pública de Navarra (Pamplona, España)
Programa de intercambio Sicue-Séneca en Universidad Rey Juan Carlos I (Madrid, España)

Add Comment

Click here to post a comment

Ticker

1 BTC = $69880.35 USD  (via Coinbase)
1 ETH = $3531.44 USD  (via Coinbase)
1 LTC = $93.79 USD  (via Coinbase)
Quotes delayed up to 2 minutes.

Indicadores Financieros

Estadísticas de Panamá

Conectate

Conéctate con nosotros a través de nuestras redes sociales oficiales, donde encontrarás las últimas noticias y más...

error: Content is protected !!