Un bug di Zoom nella condivisione schermo permetteva a chiunque di controllare altri dispositivi durante una chiamata.

I modelli di intelligenza artificiale stanno acquisendo capacità avanzate nella scoperta e nello sfruttamento delle vulnerabilità software, spingendosi fino all’esecuzione di attacchi autonomi. Un nuovo e preoccupante esempio è stato offerto martedì da alcuni ricercatori, i quali hanno svelato falle nella piattaforma di videoconferenza Zoom che avrebbero potuto consentire la completa acquisizione dei dispositivi delle vittime. Chiunque partecipasse a una chiamata con condivisione schermo, fosse esso partecipante o host, sarebbe stato vulnerabile a un attacco silenzioso, eseguibile senza alcun segnale o interazione da parte della vittima.

I ricercatori della società di difesa digitale A Security hanno dichiarato che il bug è stato scoperto all’inizio di giugno utilizzando modelli di intelligenza artificiale pubblicamente disponibili. Sono stati necessari meno di 20 prompt per individuare le vulnerabilità e creare un attacco funzionante. Zoom ha emesso martedì un avviso di sicurezza, includendo i dettagli sulle correzioni che l’azienda ha già iniziato a implementare per risolvere i difetti, che interessavano i dispositivi che eseguono tutti i sistemi operativi supportati da Zoom: Windows, macOS, Linux, iOS e Android.

“Ciò che è interessante per noi e che crediamo sia pericoloso è la democratizzazione di queste capacità: la barriera all’ingresso sta crollando rapidamente”, ha dichiarato a WIRED Omer Gull, cofondatore di A Security, prima della divulgazione. “Prima ci sarebbero voluti una squadra di cinque persone, forse sei mesi, con molte rifiniture e iterazioni per trovare questo. Ora le persone possono raggiungere gli stessi risultati con meno di 20 prompt. E Zoom è un tipo di bersaglio importante perché le persone presuppongono fiducia quando lo usano. Non lo vedono come una minaccia.”

Le vulnerabilità si trovavano specificamente nel protocollo utilizzato per facilitare l’annotazione in tempo reale durante la condivisione dello schermo. I ricercatori hanno spiegato che i loro sistemi di “bug hunting” basati sull’intelligenza artificiale hanno esaminato specificamente questo componente perché, come i cacciatori di bug umani, sono stati addestrati a riconoscere che le funzioni complesse e oscure spesso contengono vulnerabilità trascurate. Ciò è particolarmente vero per il software proprietario a codice chiuso. Un’azienda consolidata come Zoom presumibilmente effettua un’ampia revisione del codice, ma senza il beneficio di una revisione pubblica e aperta, funzionalità esoteriche ma complesse come l’annotazione sono più propense a contenere errori.

Zoom non ha risposto alle molteplici richieste di commento di WIRED riguardo ai risultati di A Security. I bug sono stati ora risolti, con Zoom che ha rilasciato sia correzioni lato server che client, ovvero patch per i propri server e per le applicazioni eseguite sui dispositivi dei clienti. Tuttavia, i ricercatori sottolineano quanto fosse allarmante contemplare bug che avrebbero potuto essere sfruttati per prendere il controllo di un dispositivo bersaglio semplicemente facendo partecipare qualcuno a una chiamata Zoom. Unirsi a una chiamata è di per sé un gesto di fiducia, ma data l’ubiquità delle videochiamate in contesti personali e professionali – e dato che Zoom in particolare è ampiamente utilizzato anche per eventi e attività semi-pubbliche come i webinar – le persone tendono ad abbassare la guardia quando si uniscono a una Zoom.

“Se ti unisci a una Zoom con noi, possiamo prendere il controllo del tuo dispositivo”, ha detto a WIRED Yossi Torati, cofondatore di A Security, durante una chiamata (che, per inciso, era ospitata su Microsoft Teams). “Lo scenario peggiore è che potremmo prendere il controllo di un’intera azienda semplicemente avendo questa vulnerabilità nelle nostre mani. Se sono un attaccante, posso partecipare a una chiamata con qualcuno di un’azienda, prendere il controllo del loro computer e delle loro credenziali, e poi usarle per muovermi lateralmente all’interno dell’impresa.”

I professionisti della sicurezza definiscono spesso il settore un “gioco del gatto e del topo”, ma con la proliferazione della caccia ai bug basata sull’intelligenza artificiale, questa delicata danza si è trasformata in una vera e propria corsa.