Alerta ZOOM! Novas vulnerabilidades podem dar acesso à câmara e microfone

Nesta fase de quarentena, em que as pessoas estão confinadas às suas casas, o ZOOM passou a ser uma das plataformas mais usadas no mundo. Contudo, o sistema parece estar a "rebentar" por todos os lados. A falta de segurança é já uma enorme preocupação, tendo em conta que existem milhares de crianças a ter aulas por este método e muitos profissionais a passar informações profissionais em videoconferências.

Uma nova e grave vulnerabilidade pode dar acesso a um hacker ao microfone e câmara dos computadores Apple com a app instalada.

Zoom tem vulnerabilidades graves agora nos Macs da Apple

O Zoom é uma das plataformas de eleição para a interação com colegas de trabalho. Esta aplicação de videoconferências oferece inumeráveis benefícios que permitem aos funcionários manter as suas atividades diárias, os professores podem dar aulas com os seus alunos online e muitas outras profissões podem partilhar um espaço virtual comum.

Contudo, esta é uma plataforma que exige que os utilizadores tenham alguns cuidados. Aliás, deixamos mesmo várias recomendações para a usarem com segurança. O problema é que algo está a escapar à própria plataforma. Depois de ter aparecido malware que potencia o roubo das credenciais do Windows, agora o problema volta-se aos computadores da Apple.

Foi descoberto no Zoom vulnerabilidades que permitem a um hacker ter acesso ao microfone e câmara dos computadores com o software instalado.

Ex-hacker da NSA mostra novo problema "zero-day" no Zoom

Segundo Patrick Wardle, um antigo hacker da NSA e agora principal investigador de segurança do Jamf, existem duas falhas anteriormente não reveladas. Estes dois bugs podem permitir o acesso ao controlo físico de um computador da Apple que tenha instalada esta aplicação. Uma vez explorada vulnerabilidade, o atacante pode ter acesso total a toda a máquina e instalar malware ou spyware.

Conforme pode ser lido no blog do autor, esta nova vulnerabilidade "Zero Day" permite que, através de um site, se possa associar um utilizador a uma chamada de Zoom sem permissão. Além disso, se já instalou o cliente Zoom e o desinstalou, na máquina continuará um servidor web local que reinstalará o cliente Zoom, sem exigir nenhuma interação por parte do utilizador.

Esta falha apenas pode ser explorada localmente. Apesar de ser um método conhecido, este parece eficaz. Veja em baixo o grafismo do ataque:

Posteriormente, o outro bug explora uma falha na forma como o Zoom lida com a câmara e o microfone nos Macs. Esta ferramenta, como qualquer aplicação que precisa da câmara e do microfone, primeiro requer o consentimento do utilizador. Contudo, o investigador referiu que um atacante pode injetar código malicioso no Zoom para enganá-lo a fim de dar ao atacante o mesmo acesso à câmara e ao microfone que o Zoom já tem.

Wardle testou e conseguiu enganar o Zoom carregando o seu código malicioso. Assim, este o código irá "herdar automaticamente" todos ou quaisquer direitos de acesso de Zoom, - e isso inclui o acesso do software à câmara e ao microfone.

Nenhuma solicitação adicional será exibida, e o código injetado foi capaz de gravar áudio e vídeo arbitrariamente.

Explicou Wardle.

Assim, como explica o investigador sobre as vulnerabilidades no blog, a empresa por trás da aplicação ainda não forneceu uma correção.

Leia também: