Los cuestionamientos a la privacidad de la aplicación de videoconferencias Zoom sigue al alza, ya que ahora un descubrimiento permitió mostrar que la app está robando credenciales de Windows por la ruta informática de un archivo o directorio en un sistema de archivos de un sistema operativo determinado (UNC).
En qué consiste exactamente ésto:
- Cuando se usa el cliente Zoom, los participantes de la reunión pueden comunicarse entre sí enviando mensajes de texto a través de una interfaz de chat.
- Al enviar un mensaje de chat, las URL que se envían se convierten en hipervínculos para que otros miembros puedan hacer clic en ellas para abrir una página web en su navegador predeterminado.
- El problema es que el investigador de seguridad @ _g0dmode descubrió que el cliente Zoom convertirá también las rutas UNC de red de Windows en un enlace en el que se puede hacer clic en los mensajes de chat.
- Si un usuario hace clic en un enlace de ruta UNC, Windows intentará conectarse al sitio remoto utilizando el protocolo SMB para compartir archivos para abrir el archivo remoto cat.jpg. Al hacer esto, de manera predeterminada, Windows enviará el nombre de inicio de sesión del usuario y su hash de contraseña NTLM, que se puede descifrar utilizando herramientas gratuitas como Hashcat para mostrar o revelar la contraseña del usuario.
Estos programas como Hashcat además pueden fácilmente borrar nuestras contraseñas en Windows y además se podría usar este enlace malicioso para abrir las cuentas de usuario de forma remota en otros computadores.
Cómo prevenir este ataque
Es bastante técnico, pero simplemente hay que seguir algunas rutas de acceso en el PC:
- Tal como dice BleepingComputer, «hay una Política de grupo que se puede habilitar que evita que sus credenciales NTML se envíen automáticamente a un servidor remoto al hacer clic en un enlace UNC. Esta política se llama ‘ Seguridad de red: restringir NTLM: tráfico NTLM saliente a servidores remotos’ y se encuentra en la siguiente ruta en el Editor de políticas de grupo: Se coloca Configuración del equipo -> Configuración de Windows -> Configuración de seguridad -> Directivas locales -> Opciones de seguridad -> Red de seguridad: Restringir NTLM: NTLM tráfico saliente a servidores remotos
- Si esta política está configurada para Denegar todo , Windows ya no enviará automáticamente sus credenciales NTLM a un servidor remoto cuando acceda a un recurso compartido.
- Si es usuario de Windows 10 Home, no tendrá acceso al Editor de directivas de grupo y tendrá que usar el Registro de Windows para configurar esta directiva: Esto se puede hacer creando el valor RestrictSendingNTLMTraffic Registry bajo la clave HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Lsa \ MSV1_0 y configurándolo en 2 .
También problemas en Mac
Pero no solo Windows está en problemas, ya que un usuario de Twitter que forma parte de la plataforma de detección de amenazas en línea, VMray como jefe técnico, sostuvo que también hay un problema con Zoom en las Mac.
Ever wondered how the @zoom_us macOS installer does it’s job without you ever clicking install? Turns out they (ab)use preinstallation scripts, manually unpack the app using a bundled 7zip and install it to /Applications if the current user is in the admin group (no root needed). pic.twitter.com/qgQ1XdU11M
— Felix (@c1truz_) March 30, 2020
Esto permitirían a un atacante tomar el control del Mac de cualquier usuario; incluyendo la posibilidad de grabar lo que captura la webcam y el micrófono.
