Falha no Zoom permitiu controlo remoto de dispositivos via partilha de ecrã

Uma falha grave no Zoom permitiu, durante meses, que qualquer participante numa chamada com partilha de ecrã tomasse controlo silencioso do dispositivo de outra pessoa. Sem clique, sem aviso, sem janela estranha a saltar no ecrã. Bastava entrares na chamada errada.

A vulnerabilidade foi descoberta pela empresa de segurança A Security no início de junho, usando modelos de IA públicos. Segundo os investigadores, foram precisos menos de 20 prompts para que a ferramenta chegasse à falha no protocolo de anotação em tempo real da partilha de ecrã e gerasse um ataque funcional. O bug afectava todas as plataformas onde o Zoom corre: Windows, macOS, Linux, iOS e Android. A empresa já lançou correções no lado do servidor e actualizações dos clientes, mas recusou comentar em detalhe as conclusões dos investigadores.

O detalhe que devia preocupar mais não é o nome Zoom, é a frase “menos de 20 prompts”. O cofundador da A Security, Omer Gull, diz que algo que antes podia exigir uma equipa de cinco pessoas a trabalhar seis meses passou a ser alcançável por qualquer pessoa com competências medianas e acesso a um modelo de IA decente. Isto é a verdadeira “democratização” de capacidade ofensiva: a barreira de entrada para fazer estrago desce, enquanto muito software crítico continua fechado e com componentes obscuros, como esta funcionalidade de anotação.

O alvo da IA não foi escolhido ao acaso. Tal como caçadores de bugs humanos, os sistemas da A Security foram treinados para olhar para as zonas mais confusas do código, onde funcionalidades pouco usadas e mal documentadas tendem a esconder vulnerabilidades. Em software proprietário sem escrutínio público, esses cantos acabam muitas vezes por escapar a auditorias internas. Basta lembrar como detalhes aparentemente menores, como texto invisível em PDFs, abrem buracos que ninguém queria admitir que existiam.

O impacto potencial desta falha no Zoom é directo: se eu conseguir pôr alguém de uma empresa numa chamada, ganho controlo da máquina, das credenciais e a capacidade de me mover dentro da rede interna. Em contexto europeu, onde o Zoom é usado para tudo, de reuniões de conselho de administração a aulas online, o cenário “entra no Zoom e ficas comprometido” bate de frente com a ideia de que videoconferência é neutra e segura por defeito. A partir de um ponto de entrada tão banal, um atacante pode escalar rapidamente dentro de uma organização.

Costuma dizer-se que a segurança é um jogo do gato e do rato. Com IA a encontrar vulnerabilidades e a desenhar exploits quase em tempo real, o jogo parece mais uma corrida de resistência em que muitos serviços mainstream nem sequer calçaram as sapatilhas. Enquanto grandes plataformas continuarem a tratar bugs graves como notas de rodapé nas actualizações, o utilizador comum só vai descobrir o risco quando for notícia, demasiado tarde para patches apressados lhe devolverem os dados, a conta ou a reputação.

Fonte: Wired