Frühere Annahmen, dass solche Angriffe nur von staatlichen Akteuren durchgeführt werden können, sind nun widerlegt, Forscher entdeckten mithilfe künstlicher Intelligenz in weniger als einem Tag eine Schwachstelle, die die vollständige Übernahme eines fremden Computers während eines Zoom-Anrufs ermöglicht.
Stellen Sie sich vor, Sie sind in einem gewöhnlichen Zoom-Meeting. Jemand teilt seinen Bildschirm, Sie tun nichts, klicken auf keine verdächtigen Links, und im Hintergrund wird Ihr Computer stillschweigend übernommen. Genau eine solche erschreckende Schwachstelle haben Forscher der Firma A Security entdeckt, und alarmierend ist, wie wenig Zeit und Ressourcen sie dafür benötigten, weniger als 24 Stunden und etwa zwanzig Anfragen an öffentlich verfügbare KI-Modelle.
Die Schwachstelle versteckt sich im Protokoll für Anmerkungen (Annotationen) während der Bildschirmfreigabe in der Anwendung Zoom Workspace. Das Problem ist, dass der Angriff keinerlei Interaktion des Opfers erfordert und keine sichtbare Warnung anzeigt. Es reicht, dass der Angreifer am selben Anruf teilnimmt und schädlichen Code ausführt, während das Ziel völlig ahnungslos bleibt, dass es kompromittiert wurde.
Der Mitbegründer von A Security, Omer Gull, beschrieb gegenüber Wired, wie dramatisch der Fall der Hürde für solche Angriffe ist. "Früher hätte ein Team von fünf Personen vielleicht sechs Monate mit viel Feinschliff und Iteration gebraucht, um das zu finden. Jetzt können Menschen mit weniger als 20 Anfragen dieselben Ergebnisse erzielen", sagte Gull und fügte hinzu, dass Zoom ein besonders wichtiges Ziel sei, da Benutzer ihm von Natur aus vertrauen und es nicht als Bedrohung wahrnehmen.
Diese Behauptung wird auch durch die Pressemitteilung des Unternehmens selbst gestützt, die von Engadget zitiert wird. "Diese Klasse von Fähigkeiten wäre früher nur staatlichen Akteuren zugänglich gewesen, aber das Modell, das Eliteteams, Monate an Arbeit und Waffenbudgets erforderte, ist gescheitert. Heute gelang es einem einzelnen Forscher, einen Exploit auf staatlichem Niveau in weniger als einem Tag zu entwickeln."
Obwohl die Schwachstelle inzwischen gepatcht wurde, hat A Security ihre potenziell katastrophale Reichweite demonstriert. Der zweite Mitbegründer, Yossi Torati, erläuterte gegenüber Wired die Kettenreaktion, die folgen könnte. "Wenn Sie nur mit uns an einem Zoom-Anruf teilnehmen, können wir Ihr Gerät übernehmen. Das schlimmste Szenario ist, dass wir ein Unternehmen übernehmen können, nur wenn wir diese Schwachstelle in der Hand haben. Wenn ich ein Angreifer bin, kann ich an einem Anruf mit jemandem aus dem Unternehmen teilnehmen, die Kontrolle über deren Computer und Anmeldedaten übernehmen und diese dann für laterale Bewegungen im Unternehmen nutzen."
Die Schwachstelle wurde Anfang Juni entdeckt, und Zoom hat am Dienstag eine Sicherheitswarnung herausgegeben und mit der Einführung von Patches auf Server- und Client-Ebene begonnen. Das Problem betraf alle von Zoom unterstützten Plattformen: Windows, macOS, Linux, iOS und Android. Zoom hat nicht auf mehrere Anfragen von Wired zur Stellungnahme zu den Erkenntnissen von A Security reagiert, aber das Unternehmen teilte mit, dass "Benutzer dazu beitragen können, die Sicherheit zu gewährleisten, indem sie die neuesten Updates anwenden".
Interessanterweise sah sich Apple im fast gleichen Zeitraum mit einem ähnlichen kritischen Fehler konfrontiert. Eine Schwachstelle in der Bildschirmfreigabe unter macOS ermöglichte es Angreifern im selben Netzwerk, die Authentifizierung zu umgehen und ohne gültige Anmeldedaten Zugriff zu erhalten. Apple veröffentlichte am Montag, dem 10. August, dringende Sicherheitsupdates in den Versionen macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9.
Obwohl es keine Bestätigung gibt, dass jemand diese Schwachstellen in der realen Welt ausgenutzt hat, betonen Forscher, dass die Geschwindigkeit und Leichtigkeit ihrer Entdeckung mithilfe künstlicher Intelligenz eine ernste Warnung für die Zukunft der Cybersicherheit darstellt. Das Rennen zwischen Angreifern und Verteidigern hat gerade eine völlig neue Beschleunigung erfahren.
