O laboratório de cibersegurança A Security descobriu uma brecha de grandes proporções no Zoom. A vulnerabilidade em um dos programas mais usado para videochamadas por empresas e usuários individuais de todo o mundo era considerada grave.
Batizada de Zoomsday, a ameaça afetava todos os sistemas operacionais para os quais o serviço está disponível: Windows, macOS, Linux, Android e iOS. Basicamente, ela permitia a um invasor mal intencionado até mesmo assumir o controle de outros dispositivos de pessoas que estivessem na mesma videochamada.
As brechas que permitiam a exploração denunciada foram corrigida pela desenvolvedora por meio de atualizações no sistema do Zoom. Isso aconteceu nesta terça-feira (11), antes da divulgação das informações sobre o caso.
O ataque silencioso no Zoom
A vulnerabilidade em questão é um bug de correção de memória que explora o recurso de anotações do Zoom. Essa é a função que permite a uma pessoa desenhar ou escrever na tela enquanto ela é compartilhada com os demais participantes.
Esses elementos são exibidos a partir de um protocolo que estabelece conexão direta entre os usuários que estão na chamada. Ao conseguir acesso a esses códigos, foi possível injetar códigos maliciosos no fluxo de dados, permitindo o acesso a múltiplos dispositivos em uma mesma ligação em andamento.
Como o protocolo é compartilhado pelos diferentes sistemas operacionais suportados pelo Zoom, todas as plataformas estariam vulneráveis ao ataque. Além disso, a falha exige segundos para ser explorada e não demanda qualquer tipo de ação ou autorização do usuário, como cliques e downloads.
Na prática, o Zoomsday poderia ser capaz de roubar credenciais de acesso para sistemas corporativos, transferir documentos sigilosos ou aplicar golpes em outros usuários da mesma empresa a partir de fraude de identidade.
Apesar de não ser uma falha conhecida até então pelo Zoom, não foram detectadas tentativas reais de uso dessa vulnerabilidade para fins criminosos.
IA foi usada na descoberta
Para além da gravidade da ameaça, outro fator que despertou atenção da indústria foi o modo com que ela foi encontrada: o grupo de cibersegurança usou um modelo publicamente disponível e avançado de inteligência artificial (IA) para encontrar a vulnerabilidade.
Plataformas modernas de empresas como OpenAI e Anthropic já são conhecidamente competentes em segurança digital, tanto para identificar quanto para invadir sistemas — a ponto de algumas 'se rebelarem' e hackearem empresas durante testes.
- Segundo o relatório, os agentes configurados receberam cerca de 20 prompts ao longo de 24 horas até encontrar a brecha em questão e oferecer todas as etapas necessárias para a invasão a outros dispositivos;
- A primeira etapa foi pedir para a IA ranquear as funções do Zoom que poderiam ser exploradas em um ciberataque. Depois, a equipe refinou várias das respostas até encontrar a vulnerabilidade inédita e perfeita para o ataque — ou seja, ainda foi necessário ter um ser humano com conhecimento técnico avançado para desenvolver prompts precisos e complexos o bastante para tornar o ataque eficiente;
- Com o alvo descoberto, os agentes fizeram a engenharia reversa da biblioteca do recurso de anotações do Zoom para entender a operação da ferramenta e permitir uma exploração. Em seguida, a IA construiu o modo de transporte do código que permite o acesso indevido a outras máquinas.
Acesse a seção de Segurança no site do TecMundo e fique por dentro das principais novidades em proteção digital.