À medida que modelos de IA ganham capacidades avançadas para encontrar vulnerabilidades em softwares, desenvolver maneiras de explorá-las e até executar campanhas autônomas de invasão, pesquisadores apresentaram nesta terça-feira um novo exemplo preocupante. Eles revelaram falhas de segurança na plataforma de videoconferência Zoom que poderiam ter sido exploradas para assumir o controle dos dispositivos das vítimas.
Qualquer pessoa em uma chamada com compartilhamento de tela, seja participante ou anfitrião, ficaria vulnerável a um ataque silencioso, sem qualquer indicação e sem exigir interação da vítima.
Pesquisadores da empresa de defesa digital A Security afirmam que o bug foi descoberto no início de junho com o uso de modelos de IA disponíveis publicamente e que foram necessários menos de 20 prompts para identificar as vulnerabilidades e criar um ataque funcional. Nesta terça-feira, a Zoom publicou um comunicado de segurança com detalhes sobre as correções que já começou a distribuir para resolver as falhas, que afetavam dispositivos com todos os sistemas operacionais suportados pela empresa, incluindo Windows, macOS, Linux, iOS e Android.
“O que é interessante para nós e o que acreditamos ser perigoso é a democratização dessas capacidades, a barreira de entrada está caindo rapidamente”, disse o cofundador da A Security, Omer Gull. “Antes, isso exigiria uma equipe de cinco pessoas, talvez por seis meses, com muito refinamento e iteração para encontrar essa falha. Agora, as pessoas conseguem chegar aos mesmos resultados com menos de 20 prompts. E a Zoom é um tipo de alvo importante porque as pessoas presumem confiança ao usá-la. Elas não a veem como uma ameaça.”
As vulnerabilidades estavam especificamente no protocolo usado para viabilizar anotações em tempo real durante o compartilhamento de tela. Os pesquisadores dizem que seus sistemas de caça a bugs com IA investigaram esse componente justamente porque, assim como caçadores de bugs humanos, eles foram treinados para identificar que funções complexas e pouco intuitivas muitas vezes escondem vulnerabilidades ignoradas. Isso é especialmente verdadeiro em softwares proprietários e de código fechado. Uma empresa consolidada como a Zoom presumivelmente realiza ampla revisão de código e validação de todos os componentes e funções, mas, sem o benefício da análise pública e aberta, recursos mais obscuros e complexos, como anotações, têm maior probabilidade de conter erros.
A Zoom não respondeu a múltiplos pedidos de comentário sobre as descobertas da A Security.
As falhas já foram corrigidas, com a Zoom liberando correções tanto do lado dos servidores quanto do lado dos clientes, ou patches para seus próprios servidores e para os aplicativos instalados nos dispositivos dos usuários. Ainda assim, os pesquisadores destacam o quanto era alarmante imaginar bugs que poderiam ter sido explorados para assumir o controle de um dispositivo apenas ao convencer alguém a entrar em uma chamada no Zoom. Participar de uma reunião já é, por si só, um gesto de confiança, mas, diante de como as videochamadas se tornaram onipresentes tanto no ambiente pessoal quanto no profissional, e considerando que a Zoom também é amplamente usada em eventos e atividades semipúblicas, como webinars, as pessoas normalmente baixam a guarda ao entrar em uma chamada.
“Se você simplesmente entrar em um Zoom com a gente, podemos assumir o controle do seu dispositivo”, disse o cofundador da A Security, Yossi Torati. “O pior cenário é que podemos assumir o controle de uma empresa inteira só por termos essa vulnerabilidade em nossas mãos. Se eu for um atacante, posso estar em uma chamada com alguém de uma empresa, assumir o controle do computador e das credenciais dessa pessoa e depois usá-los para me mover lateralmente dentro da organização.”
Profissionais costumam chamar a segurança de um “jogo de gato e rato”, mas, com a proliferação da caça a bugs com IA, essa dinâmica delicada se transformou em uma corrida aberta.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...