Хакеры обнаружили две критические уязвимости в Zoom, которые можно использовать для шпионажа за пользователями Windows и macOS, пишет Vice. Стоимость доступа к ошибке в Windows составляет $500 тысяч, утверждает один из источников издания, занимающийся покупкой подобных эксплойтов, другой называет сумму в $250 тысяч.
Отмечается, что собеседники Vice сами не видели код этих уязвимостей, однако с ними связывались брокеры, которые предлагали их продажу. Речь идёт о 0day-уязвимостях, которые на данный момент присутствуют в клиентах Zoom для Windows и macOS. Ошибку в приложении для ОС от Microsoft можно использовать для RCE (remote code execution — удаленное выполнение кода) и она может стать «идеальна для промышленного шпионажа», говорят собеседники Vice, пожелавшие остаться анонимными. При этом о характере уязвимости для macOS ничего неизвестно, однако с её помощью нельзя выполнить RCE, поэтому она менее опасна и более сложна в использовании, утверждают источники.
RCE-уязвимости считаются одними из самых востребованных, поскольку позволяют практически беспрепятственно получить доступ к необходимым данным удалённо. При этом, отмечает Vice, из-за эксплойта в Zoom злоумышленники смогут выкрасть любую информацию с компьютера пострадавшего, а не только связанную с клиентом сервиса. Впрочем, у уязвимости есть недостаток — хакеру нужно позвонить цели, говорят собеседники издания. Один из них считатет, что по этой причине цена на эксплойты завышена и должна составлять половину от запрашиваемой суммы. Кроме того, не следует ожидать, что уязвимость продержится в течение длительного промежутка времени, говорит основатель компании Netgard Адриэль Десотелс — по его словам, когда 0day-уязвимости начинают использоваться злоумышленниками, их обычно достаточно быстро находят и исправляют.
Защиту от уязвимостей, о которых идёт речь, пока не разработали, сообщает Vice. В сервисе заявили, что не нашли никаких доказательств того, что эти эксплойты существуют. «Мы круглые сутки пытались найти эти уязвимости, когда до нас дошли слухи о них, однако ничего не нашли», — рассказали представители видеосервиса.
Сервис для видеозвонков Zoom стал популярен в феврале и марте 2020 года из-за пандемии коронавируса COVID-19 после массового перехода людей на самоизоляцию и установления в некоторых странах карантина. Позже стало известно о многочисленных уязвимостях приложения, которые связаны с конфиденцальностью. Так, в марте сообщалось, что Zoom отправляет данные об устройствах пользователей на iOS в Facebook, в том числе и тех людей, которые не зарегистрированы в соцсети, а бывший программист Агентства национальной безопасности сообщал об эксплойте, который позволял получить доступ к веб-камере и получать контроль над Apple iMac. Кроме того, выяснилось, что звонки в сервисе на самом деле были зашифрованы не так, как заявляла компания, а некоторые были ошибочно перенаправлены через серверы в Китае, хотя этого не должно было произойти. В апреле пользоваться Zoom своим сотрудникам запретили многие IT-компании, в том числе Google и SpaceX.
