El uso de aplicaciones para realizar reuniones virtuales a crecido exponencialmente desde los primeros meses del año, por la situación mundial que obligó a muchas personas a cumplir cuarentena en sus hogares y al mismo tiempo mantener sus actividades de forma remota, una de esas aplicaciones que han empezado a ser utilizadas es Zoom; no pasó mucho tiempo para que empezarán a relucir problemas en la plataforma, uno de ellos es el Zoombombing. Este consiste en interrumpir las reuniones por parte de invitados no deseados, ya sea para espiar o simplemente molestar al resto de participantes con mensajes inoportunos, usando el chat o enviando audios.
El zoombombing puede suceder por dos posibles factores, por descuido de los participantes al difundir la reunión por medios no privados o por vulnerabilidades de la aplicación Zoom que puedan ser explotadas por ciberdelincuentes, en este caso en particular es por la segunda.
Un experto en ciberseguridad publicó recientemente un reporte sobre una falla de seguridad que pudo haber permitido a actores maliciosos descifrar las contraseñas numéricas, usadas para proporcionar seguridad a las reuniones privadas de la plataforma Zoom. Para aquellos que conocen la aplicación Zoom saben que por defecto, las reuniones privadas son protegidas por una contraseña numérica de seis dígitos, lo que significa que posee la debilidad de tener una cantidad finita de posibilidades, para ser exactos 1 millón, destacando por el experto que un ciberatacante puede descifrar dicha contraseña en cuestión de minutos.
La explotación era posible por la ausencia de comprobación de una cantidad limitada de intentos por el ingreso de contraseña incorrecta, un atacante pudo aprovechar el cliente web de Zoom enviando continuamente solicitudes HTTP a (https://zoom.us/j/MEETING_ID) para probar el millón de combinaciones. Además el mismo procedimiento se podía repetir incluso en reuniones programadas, aun con la opción de anular la contraseña de acceso predeterminado por una variante más larga, ampliando la cantidad de posibilidades a 10 millones de contraseñas.
La buena noticia es que la vulnerabilidad fue reportada por el experto en ciberseguridad a la compañía el 1 de abril del 2020, a través de una prueba de concepto (PoC) basada en Python y fue parcheada una semana después por Zoom el 9 de Abril.
Fuente:
COMENTARIOS