Zoom risolve (ancora) una vulnerabilità che consentiva attacchi di phishing

Non passa (quasi) giorno che non si trovi una nuova vulnerabilità di sicurezza di Zoom, la piattaforma di video-messaggistica e telepresenza che ha dilagato in questi mesi dove distanziamento e lockdown l'hanno fatta da padroni. E' la stessa Zoom a comunicare di aver risolto una vulnerabilità che avrebbe potuto consentire ad un attaccante di impersonare account aziendali legittimi per compiere azioni di phishing e intercettare credenziali di utenti, sottrarre dati e propagare infezioni di malware.

Il problema è stato individuato dalla società di sicurezza informatica Check Point e comunicato a Zoom: la funzione "Vanity URL", che permette agli utenti di aziendali di creare link personalizzati per le riunioni virtuali, come nomeazienda.zoom.us, soffriva di una falla di sicurezza che permetteva di falsificare inviti senza che la vittima se ne potesse accorgere.

Interfaccia Zoom aziendale personalizzata - Fonte: Check Point

Un attaccante avrebbe potuto creare un collegamento standard alla riunione, come ad esempio https://zoom.us/j/riunione e applicare semplicemente un qualsiasi sottodominio personalizzato di una qualunque organizzazione legittima all'inizio dell'URL (come ad esempio nomeazienda.zoom.us/j/riunione), e la riunione virtuale sarebbe stata ancora accessibile.

"Senza un'opportuna formazione su come riconoscere l'URL appropriato, un utente che riceve un invito del genere potrebbe non riconoscere che non è autentico o emesso da un'organizzazione reale. Utilizzando questi metodi un hacker potrebbe tentare di impersonare un dipendente di un'organizzazione legittima e ottenere un vettore per rubare credenziali o informazioni sensibili" spiegano i ricercatori Check Point. Ma i rischi non finiscono qui: questa vulnerabilità avrebbe reso possibili anche scenari propri di situazioni di spionaggio o sabotaggio aziendale, per esempio inducendo i dipendenti di un'azienda a partecipare ad una riunione dove vengono condivise informazioni errate e fuorvianti, o processi errati a scopo di danneggiare l'azienda.

Schermata Zoom di partecipazione ad un meeting - Fonte: Check Point

"Un utente può inserire qualsiasi ID riunione in questa schermata, a prescindere che sia stato programmato da un dipendente effettivo dell'organizzazione, e partecipare alla sessione Zoom pertinente. Un attaccante avrebbe potuto invitare la vittima a partecipare alla sessione tramite il sito web dedicato e la vittima non avrebbe avuto modo di sapere che l'invito non è stato emesso dall'organizzazione legittima" sottolineano i ricercatori.

Zoom, dopo le segnalazioni di Check Point, ha risolto i problemi ma attualmente non è possibile sapere se siano stati sfruttati effettivamente per condurre qualche azione a danno di aziende o utenti.