Une nouvelle faille dans zoom aurait pu laisser des fraudeurs imiter des organisations

Dans un rapport partagé avec The Hacker News, des chercheurs de la société de cybersécurité CheckPoint ont dévoilé aujourd’hui les détails d’une faille mineure mais facile à exploiter qu’ils ont signalée dans Zoom, le logiciel de visioconférence très populaire et largement utilisé.

La dernière faille de Zoom aurait pu permettre aux attaquants d’imiter une organisation, en incitant ses employés ou partenaires commerciaux à révéler des informations personnelles ou d’autres informations confidentielles à l’aide d’astuces d’ingénierie sociale.

Nous savons que les attaques d’ingénierie sociale peuvent sembler un peu ennuyeuses, mais quelqu’un a utilisé la même chose pour mettre le feu à Twitter hier soir, lorsque des centaines de comptes Twitter de haut niveau ont été piratés pour promouvoir une arnaque à la crypto-monnaie, tout cela grâce au compte d’outillage interne compromis d’un employé .

Cette vulnérabilité réside dans la fonctionnalité d’URL personnalisable de Zoom, appelée Vanity URL, qui vise à permettre aux entreprises de créer une URL personnalisée sur son sous-domaine et sur la page de destination de sa marque, telle que « votreentreprise.zoom.us,« où le lien d’invitation à une réunion ressemble alors à https://organization_name.zoom.us/j/##########, au lieu de régulier https://zoom.us/j/########## format.

L’équipe CheckPoint a constaté qu’en raison d’une validation incorrecte du compte, tout ID de réunion aurait pu être lancé à l’aide de l’URL personnalisée de n’importe quelle organisation, même si une réunion avait été configurée par un compte individuel distinct.

«Le problème de sécurité se concentre sur les fonctionnalités du sous-domaine», les chercheurs ont dit. « Il existe plusieurs façons de participer à une réunion contenant un sous-domaine, notamment en utilisant un lien de sous-domaine direct contenant l’ID de la réunion ou en utilisant l’interface utilisateur Web du sous-domaine personnalisé de l’organisation. »

Les attaquants peuvent exploiter cette faille de deux manières:

• Attaque via des liens directs: un pirate peut modifier l’URL d’invitation, telle que https://zoom.us/j/##########, pour inclure un sous-domaine enregistré de son choix, comme https: //< organization’s name>.zoom.us / j / ##########, lors de la configuration d’une réunion. Un utilisateur recevant ce lien d’invitation peut tomber dans le piège de l’attaquant, pensant que l’invitation était authentique et émanait d’une organisation réelle.
• Attaquer les interfaces Web Zoom dédiées: Étant donné que certaines organisations ont leur interface Web Zoom pour les conférences téléphoniques, un pirate informatique peut également cibler une telle interface et tenter de rediriger un utilisateur pour qu’il saisisse un ID de réunion dans l’URL de vanité malveillante plutôt que dans l’interface Web Zoom réelle et rejoignez la session Zoom appropriée.

L’impact de ce problème peut conduire à une tentative de phishing réussie, permettant aux attaquants de se faire passer pour un employé légitime de l’entreprise, ce qui leur permet potentiellement de voler des informations d’identification et des informations sensibles et de mener d’autres actions de fraude.

Les chercheurs de Check Point ont divulgué le problème de manière responsable à Zoom Video Communications Inc. et ont travaillé ensemble pour le résoudre et mettre en place des garanties supplémentaires pour la protection des utilisateurs.

«Étant donné que Zoom est devenu l’un des principaux canaux de communication au monde pour les entreprises, les gouvernements et les consommateurs, il est essentiel que les auteurs de menaces soient empêchés d’exploiter Zoom à des fins criminelles», a déclaré Adi Ikan, directeur de groupe chez Check Point Research, à The Hacker News.

« En collaboration avec l’équipe de sécurité de Zoom, nous avons aidé Zoom à fournir aux utilisateurs du monde entier une expérience de communication plus sûre, plus simple et plus fiable afin qu’ils puissent profiter pleinement des avantages du service. »

Plus tôt cette année, Check Point Research a également travaillé avec Zoom pour corriger un grave bug de confidentialité qui aurait pu permettre à des personnes non invitées de rejoindre des réunions privées et d’écouter à distance des fichiers audio, vidéo et des documents privés partagés tout au long de la session.

En raison de l’épidémie de coronavirus en cours, l’utilisation du logiciel de visioconférence Zoom a grimpé en flèche, passant de 10 millions de participants aux réunions quotidiennes en décembre 2019 à plus de 300 millions en avril 2020, ce qui en fait une cible favorite des cybercriminels.

La semaine dernière, Zoom a corrigé une vulnérabilité zero-day dans toutes les versions prises en charge du client Zoom pour Windows qui aurait pu permettre à un attaquant d’exécuter du code arbitraire sur l’ordinateur d’une victime exécutant Microsoft Windows 7 ou une version antérieure.

Le mois dernier, Zoom a corrigé deux vulnérabilités de sécurité critiques dans son logiciel de visioconférence pour les ordinateurs Windows, macOS ou Linux qui auraient pu permettre à des attaquants de pirater les systèmes des participants au chat de groupe ou d’un destinataire individuel à distance.

En avril, une série de problèmes ont été découverts et signalés dans Zoom, ce qui a soulevé des problèmes de confidentialité et de sécurité entourant le logiciel de visioconférence parmi des millions de ses utilisateurs.