Im Hacker-Wettbewerb Pwn2Own, das im kanadischen Vancouver stattfindet, gelang es zwei Hackern, Schwachstellen in Zoom aufzudecken und so Sicherheitslücken im Webkonferenz-Tool aufzudecken. Die beiden Niederländer gewannen für ihre Leistung ein Preisgeld von 200 US-Dollar, das heißt, sie teilen sich mehr als 1,1 Millionen R$.
A Zero-Day-Initiative, verantwortlich für das Ereignis, dass Hacker herausfordern Nachdem er in häufig verwendeter Software und auf Mobilgeräten neue schwerwiegende Sicherheitslücken entdeckt hatte, postete er auf Twitter ein GIF, das den Fehler in Aktion zeigt.
Wir bestätigen noch die Details der #Zoomen Exploit mit Daan und Thijs, aber hier ist ein besseres GIF des Bugs in Aktion. # Pwn2Own #PopCalc pic.twitter.com/nIdTwik9aW
- Zero Day Initiative (@thezdi) 7. April 2021
Der Beitrag zeigt, wie der Angreifer den Taschenrechner auf dem System öffnet, auf dem Zoom läuft. Calc.exe wird häufig als Programm verwendet, das Hacker auf einem Remote-System öffnen, um zu zeigen, dass sie Code auf dem betroffenen Computer ausführen können.
Der Remote Code Execution (RCE)-Fehler ermöglichte es dem „böswilligen Akteur“, Code über Zoom, sowohl in der Windows- als auch in der Mac-Version, aus der Ferne auszuführen. Die Android-App des Tools und die iOS – aber offensichtlich bedeutet der Fehler, dass Chatpartner in mobilen Apps kompromittiert werden könnten.
Die Details der Vorgehensweise von Keuper und Alkemade, den beiden Experten, die die Sicherheitslücke bei Zoom aufgedeckt haben, wurden vertraulich behandelt. Diese Informationen bleiben 90 Tage lang geheim. Zoom hat innerhalb dieser Frist einen Sicherheitspatch zu veröffentlichen, der sich auf die gefundene Schwachstelle konzentriert. Nach Ablauf dieser Frist werden die Details der Vorgehensweise veröffentlicht.
Veranstaltung zum Thema Home-Office-Tools
In der Ausgabe 2021 konzentrierte sich Pwn2Own auf Software und Geräte für die Heimarbeit, darunter neben Zoom auch Microsoft Teams. Die Veranstaltung, die sich im Laufe der Zeit einem aktuellen Thema widmet, fand pandemiebedingt zum 14. Mal als Remote-Veranstaltung statt und war auf den aktuellen Kontext zugeschnitten. Laut der Veröffentlichung der Initiative „rücken die Tools, die zur Unterstützung dieses Wandels benötigt werden, immer stärker in den Fokus, da die Belegschaft das Büro verlässt und ins Homeoffice geht.“
Interessierte Unternehmen stellen ihre Software und Geräte zur Verfügung und bieten Hackern, die erfolgreiche Angriffe durchführen, eine Belohnung an. Während die Experten belohnt werden und hohe Geldsummen mit nach Hause nehmen, erfahren die Unternehmen Schwachstellen die zuvor nicht identifiziert wurden. Dies verhindert, dass diese Schwachstellen verkauft und von Kriminellen ausgenutzt werden.
Hacker hatten fast die vollständige Kontrolle über den Computer
Die am Wettbewerb teilnehmenden Hacker sind sogenannte White Hats, also Personen, die ethisch handeln und auf Penetrationstests und ähnliche Methoden spezialisiert sind. Sie sind es, die beispielsweise die Sicherheit der Informationssysteme großer Organisationen gewährleisten.
Keuper und Alkemade, die White Hats, die die Sicherheitslücken von Zoom entdeckten, sind Mitarbeiter der Cybersicherheitsfirma ComputestSie kombinierten drei Schwachstellen, um am Mittwoch (07.), dem zweiten Tag des Pwn04Own-Events, die Kontrolle über ein Remote-System zu übernehmen. Die Schwachstellen erforderten keine Interaktion des Opfers, nicht einmal einen Klick oder das Öffnen einer angehängten Datei. Die Hacker mussten lediglich per Telefon telefonieren. Zoom.
Laut Keuper ermöglichte der Exploit den Angreifern, die Kontrolle über das gesamte System zu erlangen, was für die Sicherheit des Webkonferenz-Tools sehr sensibel ist. Dem niederländischen Duo gelang es, nahezu vollständige Kontrolle über den Remote-Computer zu erlangen, was durch verschiedene Aktionen demonstriert wurde, wie etwa das Ein- und Ausschalten von Webcam und Mikrofon, das Betrachten des Desktops, das Lesen von E-Mails und das Herunterladen des Browserverlaufs des Opfers.
In dieser Ausgabe von Pwn2Own brach ein weiterer ethischer Hacker in Microsoft Teams ein und nutzte, wie Keuper und Alkemade, eine Kombination von Schwachstellen aus, um beliebigen Code auszuführen. Der verantwortliche White Hat erhielt für die Aufdeckung des Microsoft-Bugs eine Belohnung von 200 US-Dollar.
Über Malwarebytes e TechRadar
Bild: hapabapa/iStock