La versione per Windows del client Zoom, una delle piattaforme di chat e meeting di gruppo più utilizzate in questi giorni di smart working “forzato” a causa dell’emergenza Covid-19, contiene una vulnerabilità nel modulo di chat che potrebbe consentire ad un attaccante remoto di ottenere le credenziali di accesso a Windows dei partecipanti alla videoconferenza.
Indice degli argomenti
Vulnerabilità nel client di videoconferenza Zoom: i dettagli
Come impostazione predefinita, il client Zoom converte tutti gli URL scambiati nei messaggi di chat in collegamenti ipertestuali cliccabili per facilitarne l’apertura nel browser Web.
Il ricercatore indipendente noto con il nickname @_g0dmode ha però scoperto che, oltre agli URL, vengono convertiti anche i percorsi di rete UNC (Universal Naming Convention) di Windows, cioè gli indirizzi che consentono di individuare risorse di rete e che usano una sintassi del tipo nome-host[backslash]nome-condivisione[backslash]nome-oggetto, in cui il nome dell’host può essere un indirizzo IP e l’oggetto può essere un file o un dispositivo di rete.
Nel momento in cui l’utente clicca sul collegamento ipertestuale corrispondente al percorso di rete UNC (ad esempio: nomeserver.server.com[backslash]images[backslash]immagine_gatto.jpg), viene effettuato un tentativo di connessione all’host remoto mediante il protocollo SMB per soddisfare la richiesta di apertura del file immagine_gatto.jpg.
Windows invia quindi al server lo username con cui l’utente effettua il login al sistema e l’hash della password utilizzando la suite di protocolli NTLM (NT LAN Manager).
È evidente che qualora il server remoto fosse sotto il controllo dei criminal hacker, questi ultimi potrebbero essere in grado di decifrare la password dell’utente utilizzando attacchi di tipo brute force oppure un tool gratuito come Hashcat specializzato proprio nel recupero delle password cifrate.
La gravità della vulnerabilità nel client di videoconferenza Zoom sta nel fatto che, con l’attuale potenza di calcolo dei computer moderni, Hashcat è in grado di decifrare una password debole in poche decine di secondi.
Come se non bastasse, sfruttando un indirizzo UNC del tipo 127.0.0.1[backslash]C$[backslash]windows[backslash]system32[backslash]calc.exe o localhost[backslash]C$[backslash]windows[backslash]system32[backslash]calc.exe, un attaccante potrebbe potenzialmente accedere a qualsiasi file memorizzato nell’hard disk della vittima. Fortunatamente, le ultime Windows richiedono all’utente l’autorizzazione prima di eseguire un qualsiasi programma.
Come prevenire il furto di credenziali
Al momento non sono stati ancora rilasciati aggiornamenti per correggere la vulnerabilità del client Zoom per Windows che impediscano la conversione automatica dei percorsi UNC in collegamenti cliccabili dall’utente.
Per mitigare il rischio di un attacco che sfrutti la vulnerabilità è però possibile configurare Windows in modo da bloccare l’invio automatico delle credenziali NTLM a server remoti quando si accede ad una condivisione di rete.
Se sul computer è installato Windows 10, è necessario utilizzare l’editor dei Criteri di gruppo per accedere al seguente percorso Pannello di controllo/Modifica Criteri di gruppo/Impostazioni di Windows/Impostazioni sicurezza/Criteri locali/Opzioni di sicurezza e modificare il criterio Sicurezza di rete: limitazione di NTLM: traffico NTLM in uscita verso server remoti impostandola su Rifiuta tutto.
In alternativa, è possibile utilizzare l’editor del registro di configurazione con privilegi di amministratore per impostare a 2 il valore RestrictSendingNTLMTraffic contenuto nella chiave HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsaMSV1_0.
Fatta questa modifica è poi necessario riavviare il computer.
Attenti ai falsi domini “Zoom” e al phishing a tema Covid-19
Come se non bastasse la vulnerabilità nel client Zoom per Windows, i laboratori di Check Point Research hanno osservato un notevole aumento del numero dei domini con la parola “Zoom” registrati nell’ultima settimana.
In particolare, dall’avvento della pandemia Covid-19 a gennaio, sono stati documentati 1.700 nuovi domini, il 25% (425 domini) dei quali sono stati registrati solo negli ultimi 7 giorni: Check Point Software ritiene che 70 di questi siano sospetti.
I ricercatori Check Point hanno inoltre rilevato anche la diffusione di file dannosi denominati zoom-us-zoom_##########.exe usati dai criminal hacker per l’installazione del noto InstallCore PUA sul computer della vittima e che potrebbe portare potenzialmente all’ulteriore installazione di software dannosi.
Infine, sono stati individuati anche nuovi siti web di phishing per ciascuna delle principali applicazioni di comunicazione, tra cui googloclassroom.com e googieclassroom.com che imitano il sito ufficiale di classroom.google.com.
Per difendersi dagli attacchi hacker e da eventuali tentativi di phishing, i ricercatori Check Point consigliano di adottare le seguenti misure di sicurezza:
- usare prudenza con e-mail e file ricevuti da mittenti sconosciuti: la cura per il Coronavirus non arriverà via e-mail;
- non aprire allegati sconosciuti e non cliccare sui link nelle e-mail;
- prestare attenzione ai domini ingannevoli, agli errori di ortografia nelle e-mail e nei siti web e ai mittenti sconosciuti;
- proteggere la propria azienda con un’architettura IT olistica, end-to-end, per prevenire attacchi zero-day.
I consigli per usare in sicurezza le app di videoconferenza
In generale, per usare in sicurezza le applicazioni per la videoconferenza e i meeting di gruppo, è utile seguire alcune semplici regole di sicurezza informatica.
Innanzitutto, come suggerisce David Emm, Principal Security Researcher di Kaspersky, è utile porsi alcune semplici domande prima di installarle:
- Da dove trae i propri guadagni l’applicazione che intendiamo scaricare? Se l’app è gratuita, il prezzo da pagare molto probabilmente saranno le informazioni personali degli utenti. È importante quindi controllare i permessi richiesti dalle app e verificare quali dati vengono raccolti, memorizzati e riutilizzati;
- I dati trasmessi dall’applicazione vengono criptati?
- Tenersi informati sulle tattiche di social engineering. Come si fa a sapere che le persone con cui veniamo in contatto utilizzando l’app siano realmente chi dicono di essere? Come possiamo verificare le informazioni o i link ricevuti?
- Ricordarsi che niente e nessuno può considerarsi al sicuro al 100%. Anche se pensiamo di non essere interessanti per un criminale informatico, come potrebbe esserlo invece Jeff Bezos, siamo tutti potenziali vittime degli hacker interessati alle app.
Lo stesso ricercatore Kaspersky suggerisce, infine, dieci consigli per utilizzare qualsiasi tipo di applicazione:
- controllare con molta attenzione le impostazioni di privacy e sicurezza;
- utilizzare password uniche e complesse per tutti gli account online;
- porre dei limiti a ciò che può essere visto e condiviso;
- non dare la propria fiducia a qualcuno senza aver fatto prima delle verifiche. Verificare con i suoi contatti che l’identità di chi vi ha contattato/o inviato un link su un’applicazione sia reale;
- disattivare le funzioni che non vengono utilizzare o che non sono necessarie per abilitare l’accesso (ad es. microfono, accesso alla telecamera, ecc.);
- non condividere ciò che non si vuole rendere pubblico e visibile a tutti;
- segnalare gli abusi;
- proteggere tutti I vostri dispositivi con un prodotto di sicurezza Internet affidabile;
- installare gli aggiornamenti del sistema operativo e delle applicazioni non appena disponibili;
- se si tratta di riunioni di lavoro, attenersi all’app raccomandata/fornita dalla vostra azienda e non alla vostra app preferita per le video call di gruppo.
