I veri problemi di Zoom: credenziali di Windows esposte

Apr 01, 2020 Marco Schiaffino In evidenza, News, RSS, Scenario, Vulnerabilità 0

---

Sfruttando la chat della piattaforma di videoconferenza è possibile ottenere l’hash da cui ricavare nome utente e password dei partecipanti.

Mentre sul Web si susseguono falsi allarmi riguardo eventuali violazioni della privacy da parte dell’ormai diffusissima piattaforma di videoconferenza Zoom (ne abbiamo parlato in questo articolo) cominciano a comparire segnalazioni decisamente più affidabili sui rischi correlati all’uso del sistema.

La più rilevante è stata individuata da un ricercatore di sicurezza che su Twitter si firma con il nome di @_g0dmode e che ha rivelato come Zoom possa essere usato per individuare le credenziali degli utenti Windows.

Il problema, in pratica, è che la chat di Zoom non distingue tra normali link Internet e UNC path, cioè ai percorsi che consentono di aprire file all’interno di una rete.

Sarebbe quindi possibile inserire in chat un percorso che, se cliccato da uno dei partecipanti, avvierebbe una connessione attraverso il protocollo SMB, che invia l’hash delle credenziali dell’utente. Con questa informazione, un pirata informatico potrebbe facilmente ottenere il nome utente e la password.

Un problema non da poco, soprattutto in ambito aziendale. Tanto più che la violazione dell’hash, spiegano gli esperti, richiede una manciata di secondi attraverso l’utilizzo di strumenti come Hashcat.

Il problema ulteriore, evidenziato questa volta da Matthew Hickey, è che la stessa tecnica può essere usata per avviare l’esecuzione di un programma.

Per fortuna, una tale operazione attiverebbe il controllo UAC, chiedendo quindi una conferma all’utente. Considerata la situazione attuale, in cui molte persone stanno utilizzando strumenti di comunicazione e collaborazione in remoto con le quali non hanno una grande dimestichezza, il rischio rimane comunque elevato.

Insomma: se Zoom non rappresenta di per sé un pericolo per la privacy o la sicurezza, l’uso “disinvolto” della piattaforma può aprire la strada a forme di attacco a cui normalmente gli utenti non sonno esposti e che, di conseguenza, possono rappresentare un problema non da poco, soprattutto se lo si utilizza per conversazioni “sensibili”.

Quest’ultimo tema è emerso per esempio in Gran Bretagna, quando il premier Boris Johnson ha pensato bene di condividere su Twitter l’immagine di una riunione di gabinetto via Zoom, facendo venire una crisi di nervi ai responsabili di sicurezza del Regno Unito.

This morning I chaired the first ever digital Cabinet.

Our message to the public is: stay at home, protect the NHS, save lives. #StayHomeSaveLives pic.twitter.com/pgeRc3FHIp

— Boris Johnson #StayHomeSaveLives (@BorisJohnson) March 31, 2020

La piattaforma di videoconferenza, infatti, non dispone di un sistema di crittografica end to end e non sarebbe esattamente lo strumento più adatto per tenere meeting di questo livello. Pubblicare la foto su Twitter, in cui si può vedere anche il codice di chiamata, non è poi un’idea particolarmente brillante.

Per fortuna, riportano gli organi di stampa, la conferenza era protetta da password. Almeno quello…

---

• Boris Johnson, Marco Schiaffino, Windows, Zoom

---

---