Salas do Zoom protegidas por senhas estavam vulneráveis a ataques de força bruta

A plataforma Zoom está vivendo um misto de céu e inferno desde o início da pandemia do novo coronavírus (SARS-CoV2). Sendo uma das melhores ferramentas para videoconferências do mercado, ela vislumbrou um aumento repentino no número de usuários por conta da adoção desenfreada do trabalho remoto e da necessidade por parte das escolas de investir em aulas online.

• Zoom tem uso proibido por mais duas gigantes multinacionais
• Zoom anuncia pacotão de melhorias de segurança em versão 5.0
• Zoom corrige falha de segurança em endereços que permitia instalação de malware

Por outro lado, com grandes poderes, vêm as grandes responsabilidades: o serviço também passou a ser amplamente criticado por conta de falhas de segurança que, até então, ninguém parecia nem sequer ter percebido que existiam. O mais recente exemplo disso é a mais nova brecha estrutural descoberta no cliente web do Zoom pelo pesquisador britânico Tom Anthony.

Em seu blog oficial, Tom explica que as salas do aplicativo são protegidas, por padrão, com uma senha numérica de apenas seis dígitos — algo que resulta em um máximo de 1 milhão de combinações possíveis. Isso, por si só, não seria um problema. A questão é que a interface web da plataforma não impõe um limite de tentativas que o internauta pode fazer para acertar a password correta e adentrar na reunião.

Deixe-me adivinhar...

Visto que você pode tentar informar a senha indefinidamente, Tom logo percebeu que o sistema estaria vulnerável a ataques de força bruta — ou seja, era possível escrever um script que automatizasse essas tentativas e descobrisse a combinação certa. Como prova de conceito, o britânico conseguiu elaborar um programa na nuvem e descobriu a password de uma sala em 25 minutos, após experimentar 91 mil opções distintas.

Porém, como bem observado pelo especialista, esses 25 minutos são um trabalho de um único servidor dedicado à tarefa. Criminosos costumam ter botnets à sua disposição, podendo usar um poder computacional muito maior do que o de Tom, o que lhes permitiria descobrir a combinação correta em dois ou três minutos. A partir disso, abriria-se o caminho para espionar conversas sigilosas.

Notificada pelo pesquisador, a equipe do Zoom rapidamente tirou o cliente web do ar e realizou algumas alterações para impedir a exploração do método. Agora, as senhas são alfanuméricas (combinação de letras e números) e tornou-se obrigatório fazer login com sua conta antes de entrar em uma sala, o que reduz o poder de golpistas anônimos.

Fonte: Tom Anthony