Resulta que Zoom es excelente para el trabajo remoto y la ejecución remota de código

Desde el comienzo de la pandemia de COVID-19, Zoom se ha convertido en una herramienta esencial para que los trabajadores remotos, sus familias y amigos se reúnan casi cara a cara. En la conferencia de seguridad Black Hat en Las Vegas, un investigador de seguridad demostró cómo usó la tecnología subyacente de Zoom y otras aplicaciones para controlar completamente la computadora de un objetivo.

Ivan Fratric, un investigador de seguridad de Google Project Zero, comenzó su charla preguntando a la audiencia si estaba entusiasmado con XML y recibió lo que este reportero interpretó como un leve entusiasmo. «Cuando XML era joven, yo era un joven estudiante de ciencias de la computación y tampoco me emocionaba», dijo Fratric.

«Avance rápido dos décadas después, finalmente estoy entusiasmado con XML por todas las razones equivocadas».

Eso se debe a que Fratric pudo rastrear varios errores que, cuando se explotaron, le permitieron hacer todo tipo de cosas maravillosamente terribles con XMPP. ¿Qué es XMPP? «Básicamente, un protocolo de mensajería instantánea basado en XML», explicó Fratric. «Cuando algo se basa en tecnología que tiene más de dos décadas, sabes que es un buen objetivo para la investigación de seguridad».

Contrabando de estrofas

Lo que Fratric descubrió fue que podía incrustar fragmentos de código XMPP, llamados estrofas, dentro de otras estrofas XMPP. Luego podría usar un cliente para enviar una estrofa de contrabando dentro de un mensaje legítimo, hacer que el servidor intermedio la acepte y la retransmita, pero que el cliente de mensajería instantánea del objetivo la interprete como dos estrofas.

Fratric explicó que todo esto fue posible porque «XML es complicado y los analizadores XML tienen peculiaridades». Esas peculiaridades son que dos analizadores XML pueden interpretar el mismo código de manera diferente y, a veces, ambos lo hacen incorrectamente. Algunos de sus ataques requerían dos analizadores XML específicos que son excepcionalmente malos cuando se usan juntos, mientras que otros afectan todos los usos de un solo analizador.

Con sus ataques, Fratric pudo falsificar mensajes, lo que significa que los objetivos recibirían mensajes que parecían provenir de otra persona. También podría redirigir el tráfico XMPP a otro servidor, permitiéndole ver todos los mensajes que van y vienen de su objetivo. Eso ya es angustiante, pero Fratric estaba interesado en usar estas vulnerabilidades para ejecutar código de forma remota en la máquina de un objetivo.

Zoom de ataque

Utilizando Zoom como ejemplo, Fratric mostró cómo podía enviar un mensaje instantáneo de un cliente de Zoom a otro. El cliente del objetivo recibió el código XMPP de contrabando que redirigió el mecanismo de actualización automática de Zoom para usar el servidor de Fratric en lugar del servidor oficial de Zoom.

Zoom, inteligentemente, verifica la validez de las actualizaciones en un proceso de dos pasos, pero Fratric descubrió que Zoom firmó oficialmente una versión anterior del cliente de Zoom (v.4.4), pero omitió el segundo paso de verificación. Esto significaba que Fratric podía pasar una versión modificada del cliente 4.4 e instalarlo y ejecutarlo junto con su carga maliciosa en la computadora del objetivo.

Hubo algunas advertencias. Principalmente, que el objetivo necesitaba reiniciar el cliente de Zoom dos veces para que el ataque funcionara: una vez para activar el mecanismo de actualización automática y otra vez para activar la instalación de la actualización infectada. Fratric dijo que todavía considera esto un ataque de «clic cero» ya que todos tienen que reiniciar su computadora en algún momento. “Si no haces eso, tienes problemas más grandes que un exploit de Zoom”, dijo Fratric.

No se preocupe, Zoom es probablemente seguro

Afortunadamente para todos los que trabajan desde casa, Fratric informó sus descubrimientos a Zoom y ya se emitieron parches. Elogió a la compañía por tomar en serio sus hallazgos y por emitir correcciones integrales.

Aún así, señaló que XMPP se usa en una gran variedad de otros contextos, desde juegos en línea hasta controles industriales. Algunos de los errores que encontró que afectaron a Zoom también afectan a otros objetivos.

«Creo que estos ataques de contrabando de estrofas son una superficie de ataque bastante poco explorada», dijo Fratric. «Pude encontrar muchos errores diferentes en diferentes objetivos y, lamentablemente, la forma en que está diseñado el protocolo XMPP hace que sea fácil introducir y encontrar errores como este».

También insinuó que esta charla no cubrió todos sus descubrimientos. Mientras mostraba una diapositiva que describía los errores que informó, Fratric bromeó: «No puedo confirmar ni negar que hay otros errores que no figuran en esta diapositiva».

Siga leyendo PCMag para conocer lo último de Black Hat.