Zoom se volvió una herramienta fundamental en pandemia, donde las videoconferencias laborales y personales estaban a la orden del día. Sin embargo, también dio lugar a más cibercrímenes, que ponen en riesgo a los usuarios de la plataforma.
La plataforma, que pasó de 10 millones de usuarios diarios en diciembre de 2019 a 300 millones de usuarios diarios en abril de 2020, sufrió una cantidad inmensa de ataques. Estos incluyen visitas inesperadas en videollamadas (Zoombombing), dominios y archivos maliciosos pretendiendo pertenecer a Zoom, IDs y credenciales de reuniones expuestas en la web.
Además, se pusieron a la venta más de medio millón de credenciales de Zoom y hasta se detectó que se pueden averiguar las contraseñas de las personas en el 75% de los casos leyendo su lenguaje corporal, dependiendo de la resolución de su cámara.
Durante Ekoparty 2021, la conferencia de ciberseguridad más importante de Latinoamérica, especialistas brindaron una charla sobre Zoom y explicaron un mecanismo de explotación que permitiría a cibercriminales tomar control de la máquina afectada.
El hecho de proteger la privacidad de los usuarios de la plataforma se volvió de especial importancia cuando varias instituciones de gobierno comenzaron a hacer compras importantes de productos de Zoom Messenger. Tan solo en Estados Unidos, diferentes dependencias de su gobierno gastaron un total de 1.4 millones de dólares en Zoom.
El nivel de atención fue tan grande que la mundialmente famosa competencia de hacking Pwn2Own decidió agregar una categoría de 'Comunicaciones empresariales' para fomentar la investigación en seguridad sobre Zoom y Microsoft Teams, ofreciendo una recompensa de $200,000 a quienes pudieran demostrar con éxito un ataque 0-day. Se les llama ataques de “día cero” a las vulnerabilidades más recientes, para las cuales aún no existe un parche de seguridad.
La investigación para la Ekoparty
Daan Keuper y Thijs Alkemade, miembros del departamento de investigación de Computest, decidieron aceptar este desafío y comenzaron a investigar sobre Zoom. Durante la Ekoparty 2021, presentaron por primera vez en Latinoamérica los resultados de su investigación, que culminó en un exploit funcional contra la entonces última versión de Zoom, que le daría al atacante control total sobre el sistema de la víctima. Por este hallazgo, los investigadores recibieron la máxima recompensa de la competencia.
“Durante esta charla llamada Hackeando el software más popular de la pandemia: Zoom, contamos cómo comenzó la investigación, explicaremos las vulnerabilidades que encontramos y, finalmente, cómo esas vulnerabilidades se incorporaron al mecanismo de explotación que completó el ataque, logrando tomar posesión de la máquina afectada”, explicó Thijs Alkemade.
La 17° edición de Ekoparty tuvo lugar del 2 al 6 de noviembre, y los participantes asistieron a esta y otras 160 charlas, workshops y actividades de hacking y ciberseguridad. La mayor parte del evento fue online, con algunas actividades presenciales en Buenos Aires y Chile.
Más Información
