In questo articolo Indice dei contenuti 3 sezioni
Una falla nella funzione di annotazione ha trasformato per un periodo le riunioni online in un potenziale campo minato: il bug di Zoom scoperto dai ricercatori di A Security permetteva infatti di prendere il controllo dei dispositivi di tutti i partecipanti a un meeting, senza che questi dovessero cliccare o scaricare alcunché. La società californiana ha già distribuito la patch per tutti i prodotti coinvolti, ma il modo in cui la vulnerabilità è stata individuata dice parecchio su come stanno cambiando gli attacchi informatici.
Il punto debole si trovava nel protocollo che gestisce le annotazioni, quello strumento tanto comodo che consente di scrivere e disegnare sopra lo schermo condiviso durante una riunione. Un dettaglio apparentemente marginale, roba da lavagna virtuale, che invece apriva una porta piuttosto larga.
Meno di 20 prompt per costruire l’exploit
Zoom è un software proprietario, il codice sorgente non è pubblico. I ricercatori hanno quindi lavorato per sottrazione, decompilando la versione Android e ricostruendo il funzionamento interno tramite reverse engineering. Fin qui, nulla di nuovo. La parte interessante arriva dopo: per analizzare quel codice è stato impiegato un modello di intelligenza artificiale pubblico, di quelli accessibili a chiunque.
Il risultato è la parte che fa più impressione. Individuare la falla, presente anche nelle versioni per Windows, macOS, Linux e iOS, e scrivere un exploit funzionante ha richiesto meno di 20 prompt. Non mesi di studio, non budget importanti, non team specializzati chiusi in una stanza per settimane. Venti richieste a un modello linguistico e il gioco era fatto. Il messaggio implicito è chiaro: la barriera d’ingresso per certi tipi di attacco si sta abbassando in modo drastico.
Come funzionava l’attacco su Zoom
Tecnicamente si tratta di un buffer overwrite. Un malintenzionato che partecipa a una riunione, oppure che la ospita direttamente, poteva inviare un messaggio costruito su misura sfruttando il protocollo delle annotazioni. Quel messaggio corrompeva la memoria del client, aprendo la strada all’esecuzione di codice arbitrario. Tradotto: malware installato sulla macchina della vittima.
E qui sta il problema più serio. L’attacco non richiedeva alcuna interazione da parte dei partecipanti. Nessun link da aprire, nessun allegato da scaricare, nessuna finestra sospetta da approvare. Bastava essere collegati alla riunione. A quel punto il cybercriminale poteva prendere il controllo dei dispositivi di tutti i presenti, trasformando la piattaforma in uno strumento di spionaggio a tutti gli effetti: furto di dati personali, installazione di software malevolo, attivazione silenziosa di videocamera e microfono.
L’unico vero ostacolo era entrare nella stanza
Zoom ha rilasciato le nuove versioni che chiudono la falla, quindi l’aggiornamento resta la prima cosa da fare. Ma vale la pena soffermarsi su un aspetto: l’unica difficoltà concreta per un attaccante era riuscire a partecipare alla riunione. E in moltissimi casi non serve niente di sofisticato, basta l’ingegneria sociale.
Gli scenari sono quelli che si vedono ormai con una certa frequenza. Un finto colloquio di lavoro, con tanto di invito a una videochiamata e un recruiter che sembra credibile. Oppure un presunto dirigente aziendale che contatta un dipendente per una comunicazione urgente, magari giocando sulla fretta e sul timore di far attendere un superiore. Meccanismi vecchi, che continuano a funzionare perché puntano sulle persone e non sui sistemi.
La combinazione tra un bug che non richiede clic e una tecnica di persuasione ben confezionata è esattamente il tipo di scenario che tiene svegli i responsabili della sicurezza. Chi utilizza Zoom per lavoro, riunioni interne o call con clienti farebbe bene a verificare di avere l’ultima versione installata su ogni piattaforma, Android e iOS compresi, visto che la falla di sicurezza toccava indistintamente desktop e mobile.
