Zoom está filtrando datos de inicio de sesión en Windows a atacantes cibernéticos

Las apps de teletrabajo están teniendo su época dorada (aunque no sea por los mejores motivos), y todas las alternativas están recibiendo una publicidad gratuita sin precedentes. Una app que ha conseguido despuntar es Zoom, y no sólo por sus capacidades como aplicación, sino por sus últimos problemas de seguridad.

Además de saber que Zoom no respeta del todo nuestra privacidad y que la conexión encriptada no es todo lo encriptada que debería ser, ahora se ha descubierto que una vulnerabilidad en la app permite que hackers accedan a datos de inicio de sesión de Windows.

Esta vulnerabilidad encontrada en el cliente de Zoom permitiría, mediante una serie de procesos, que los hackers tuvieran acceso a las credenciales de inicio de sesión de un usuario.

El nuevo problema de seguridad de Zoom

Según ha podido averiguar el investigador de seguridad @g_g0dmode y tal y como adelantan en BleepingComputer, el cliente de Zoom es vulnerable a una inyección de ruta UNC en la función de chat integrada en el mismo. Un hacker que descubriera esta brecha podría aprovecharla y llevarse nuestros datos de inicio de sesión.

Usuario de Zoom Zoom

Cuando usamos Zoom, los participantes en la conferencia tienen acceso a un chat. Al enviar un mensaje a este chat, las URL que se envían se convierten en hipervínculos para que otros miembros puedan hacer clic y que se abran en su navegador predeterminado. El problema reside en que el mismo cliente convierte las mismas rutas UNC de red de Windows en un enlace en el que se puede hacer clic.

La ruta UNC es, a grosso modo, la que se usa para acceder a archivos y carpetas dentro de una red de equipos informáticos. El problema es que si enviamos una ruta UNC esta se convertirá en un enlace con hipervínculo. Y sí, es fácil razonar que es imposible que por mucho que esa persona clique en ese link pueda llegar a nuestras carpetas.

Ejemplo de cómo una ruta UNC a una supuesta imagen se convierte en un hipervínculo. Lawrence Abrams BleepingComputer

¿Qué ocurre si un usuario hace click en esa ruta UNC? En el caso del ejemplo de BleepingComputer, la ruta UNC llevaría a una imagen .jpg (la ruta inventada es \\evil.server.com\images\cat.jpg). Si un usuario con Windows hace click en ese enlace, Windows intentará conectarse a la red de equipos usando un protocolo SMB para compartir archivos en pos de abrir, en este caso, el archivo remoto cat.jpg.

En el proceso y de forma predeterminada, Windows enviará el nombre de inicio de sesión del usuario y su hash de contraseña NTLM, que se puede descifrar usando herramientas gratuitas. El usuario Matthew Hickey (@HackerFantastic) hizo una pequeña prueba y pudo capturar los "hashes" de contraseña NTLM que se enviaron a un servidor que aloja el recurso compartido al que se hizo clic. BleepingComputer puedo verificar este problema haciendo una prueba local.

Capturando hashes de contraseñas NTLM. Lawrence Abrams BleepingComputer

El mayor problema de este asunto es que la potencia actual del hardware existente da para descifrar este tipo de contraseñas. De hecho, el problema es más grave de lo que parece, ya que estas inyecciones podrían servir para iniciar programas en dispositivos locales cuando se hiciera click en un enlace.

¿Entonces qué hago?

Zoom. Zoom

Existen mecanismos para intentar evitar este problema, pero Zoom debe evitar que el sistema de chat convierta estas rutas UNC en hipervínculos. Si manejas una red de equipos y no quieres trastear demasiado en tu sistema, tendrás que o bien esperar a un posible fix por parte de Zoom o bien usar otra app de conferencias telemáticas.

Por ahora, y hasta que Zoom resuelva todos sus problemas de seguridad, te recomendamos que uses otra app de videoconferencia, o en su defecto, que te asegures de que ninguno de los miembros de tu red de equipos comparta una ruta UNC.