Ζούμε σε μια εποχή όπου η τεχνολογία είναι μέρος της ζωής μας και ένας πρωταρχικός πολύτιμος πόρος για προσωπικές και επαγγελματικές εργασίες. Η χρήση διαδικτυακών πλατφορμών βιντεοδιάσκεψης όπως το Zoom και το Microsoft Teams έγινε αναγκαία τους τελευταίους μήνες, λόγω της πανδημίας COVID-19.
Αυτό το άρθρο παρέχει έναν λεπτομερή αναλυτικό οδηγό για το πώς να κάνετε hack το Microsoft Teams με μια απλή εικόνα GIF.
Η ευπάθεια που δημοσιεύτηκε τον Απρίλιο έως τα μέσα του 2020 θα μπορούσε να αξιοποιηθεί από έναν απομακρυσμένο χρήστη και η Microsoft διόρθωσε αμέσως το ελάττωμα λίγες ημέρες μετά την αποκάλυψη. Ωστόσο, αυτό το σενάριο θα πρέπει να κατανοηθεί ως πραγματική απειλή που αντιμετωπίζει όχι μόνο το Microsoft Teams αλλά και όλες οι εφαρμογές που διατηρούν τον ίδιο τρόπο λειτουργίας.
Ακόμα κι αν ένας κακόβουλος χρήστης δεν έχει ευαίσθητες πληροφορίες από τον λογαριασμό μιας ομάδας, το ελάττωμα μπορεί να χρησιμοποιηθεί για να εκτελέσει μια επίθεση στους λογαριασμούς του οργανισμού, όπως ένα worm, για να πάρει τα διακριτικά του λογαριασμού και στη συνέχεια να έχει πρόσβαση σε όλες τις συνεδρίες συνομιλίας των χρηστών-στόχων.
Το σχήμα 1 παρακάτω δείχνει πώς μπορεί να εκτελεστεί αυτή η επίθεση σε μια μεγάλη εταιρεία.
Σχήμα 1: Ροή εργασίας επίθεσης Microsoft Teams
Αναλυτικά, η επίθεση μπορεί να αξιοποιηθεί ακολουθώντας τα επόμενα βήματα:
- Μια κακόβουλη εικόνα GIF προετοιμάζεται και δημιουργείται από hackers και αποστέλλεται σε ένα πρώτο θύμα κατά τη διάρκεια μιας τηλεδιάσκεψης μέσω συνομιλίας.
- Το θύμα ανοίγει και βλέπει το μήνυμα με ενσωματωμένη την εικόνα GIF. Σε αυτό το σημείο, ο hacker πλαστοπροσωπεί το θύμα και διαδίδει την εικόνα GIF με το payload στους λογαριασμούς των ομάδων του οργανισμού σαν worm, μολύνοντας μια μεγάλη ομάδα υπαλλήλων.
- Το μήνυμα διαδίδεται και επηρεάζονται και άλλα θύματα.
- Τα κουπόνια των ομάδων των θυμάτων αποστέλλονται στον hacker.
- Οι hackers μπορούν να χρησιμοποιήσουν τα στοιχεία για πρόσβαση στις πληροφορίες, τις επαφές, τα μηνύματα του θύματος και ούτω καθεξής.
Όπως περιγράφεται παραπάνω, η ευπάθεια βασίζεται σε μια απλή εικόνα GIF και στον τρόπο με τον οποίο οι ομάδες χειρίζονται τον έλεγχο ταυτότητας σε πόρους εικόνας. Παρακάτω, παρουσιάζεται το αρχικό payload.
Εικόνα 2: Η εικόνα GIF εστάλη στο πρώτο θύμα.
Αναλυτικά, κατά το άνοιγμα της εφαρμογής (τόσο για φορητές συσκευές όσο και για επιτραπέζιους υπολογιστές), δημιουργείται ένα JSON Web Token (JWT), το διακριτικό πρόσβασης, κατά τη διάρκεια αυτής της διαδικασίας. Αυτό το διακριτικό επιτρέπει στον χρήστη να βλέπει εικόνες που μοιράζονται το άτομο ή άλλοι σε μια συνομιλία / σύσκεψη / τηλεδιάσκεψη.
Εξαιτίας αυτού, ένα cookie που ονομάζεται “authtoken” που παρέχει πρόσβαση σε έναν διακομιστή πόρων “api.spaces.skype.com” μπορεί να λειτουργήσει σαν κατάχρηση για τη δημιουργία του “Skype token”, δίνοντας πρόσβαση για αποστολή μηνυμάτων, δημιουργία ομάδων, προσθήκη νέων χρηστών ή κατάργηση χρηστών από ομάδες, αλλαγή δικαιωμάτων σε ομάδες μέσω του API Teams και ούτω καθεξής.
Σχήμα 3: Το διακριτικό JWT διηθήθηκε χρησιμοποιώντας αυτήν την ευπάθεια.
Επόμενο βήμα: επίθεση takeover
Μετά τη λήψη αυτού του προνομιούχου διακριτικού, μπορεί να γίνει κατάχρηση για αλληλεπίδραση με άλλα εσωτερικά συστήματα του οικοσυστήματος της Microsoft. Προκειμένου να εκτελεστεί μια επιτυχημένη επίθεση, δύο υποτομείς αναγνωρίστηκαν σαν ευάλωτοι σε επιθέσεις takeover :
- aadsync-test.teams.microsoft.com
- data-dev.teams.microsoft.com
Λαμβάνοντας αυτές τις πληροφορίες, ένας hacker μπορεί να αναγκάσει έναν χρήστη να έχει πρόσβαση στα domains που έχουν αναληφθεί. Μετά από αυτό, το πρόγραμμα περιήγησης του θύματος θα στείλει αυτόματα το cookie στον απομακρυσμένο διακομιστή των απατεώνων. Τώρα μπορείτε να δημιουργήσετε το διακριτικό του Skype και να έχετε πρόσβαση σε όλα τα δεδομένα του λογαριασμού της ομάδας του θύματος.
Λεπτομέρειες που περιλαμβάνουν εμπιστευτικές πληροφορίες, συναντήσεις και πληροφορίες ημερολογίου, ανταγωνιστικά δεδομένα, μυστικά, κωδικούς πρόσβασης, ιδιωτικές πληροφορίες, επιχειρηματική στρατηγική, σχέδια και διαδικασίες μπορούν τώρα να χρησιμοποιηθούν για την εκτέλεση άλλων ειδών φορέων επίθεσης.
