​Microsoft Teams - luka sprawiła, że GIF mógł wykradać dane

Pandemia koronawirusa sprawiła, że firmy musiały odesłać większość swojego personelu do pracy w domu. Tym samym nastąpił ogromny wzrost zainteresowania platformami służącymi do zdalnej współpracy. Jednym z najpopularniejszych rozwiązań w tej grupie produktów jest Microsoft Teams realizujący funkcje chata wideo, komunikatora internetowego, a także udostępniania plików. Rosnąca popularność narzędzi do komunikacji nie umknęła uwadze hakerów. Tym bardziej powinny niepokoić informacje o lukach występujących w narzędziach do wideokonferencji i pracy zespołowej. 

Niedawno bardzo głośno było o problemach Zooma. Ale miesiąc temu badacze z CyberArk wykryli poważną lukę w oprogramowaniu Microsoft Teams. Napastnicy za pomocą spreparowanego GIF-a mogli wykraść dane użytkownika aplikacji, a następnie przejąć kontrolę nad wszystkimi kontami pozostałych członków zespołu pracujących z Microsoft Teams. Co ciekawe, użytkownicy platformy nawet nie musieli udostępniać niebezpiecznego GIF-a, wystarczyło jedynie go wyświetlić poprzez Microsoft Teams, po czym złośliwy obrazek automatycznie rozprzestrzeniał się po sieci.

- To wyjątkowo groźna forma ataku. Sam fakt, iż samo wyświetlenie obrazka infekuje konto użytkownika Microsoft Teams, budzi poważny niepokój. Również sposób i tempo rozsiewania złośliwego GIF-a na inne firmowe konta znacznie ułatwia przejęcie kontroli nad członkami zespołu - mówi Mariusz Politowicz z firmy Marken dystrybutora rozwiązań Bitdefender w Polsce.

Cyberprzestępca korzystający z tej formy ataku mógł zyskać dostęp do wszystkich danych z kont użytkowników Microsoft Teams, gromadząc poufne informacje np. kalendarze spotkań, hasła, biznesplany itp.

Podatność na ataki wiązała się ze sposobem w jaki sposób Microsoft obsługiwał tokeny uwierzytelniające do przeglądania obrazów w Microsoft Teams. Tokeny były na serwerze pod adresem teams.microsoft.com lub dowolną subdomeną. CyberArk zauważył, że możliwe było przejęcie dwóch z tych subdomen - aadsync-test.teams.microsoft.com i data-dev.teams.microsoft.com - w ramach ataku. Badacze odkryli, że jeśli hakerowi udałoby się zmusić potencjalną ofiarę do odwiedzenia przechwyconych subdomen, tokeny uwierzytelniające zostałyby przekazane na serwer napastnika.  To z kolei pozwalałoby utworzyć kolejny token o nazwie "skype", który otwierał dostęp do konta ofiary.

- Konieczność wykorzystania wrażliwej subdomeny zmniejsza zdolność napastnika do skutecznego przeprowadzenia ataku. Ale ten przypadek pokazuje, że firmy muszą kontrolować subdomeny. Czasami są one tworzone w celach testowych lub krótkich kampanii marketingowych. Należy się upewnić, że nie zostaną one wykorzystane później do niecnych celów - tłumaczy Mariusz Politowicz.

CyberArk poinformował Microsoft o istnieniu luki 23 marca. W ciągu miesiąca Microsoft wprowadził niezbędne poprawki. Firma twierdzi, iż nie ma żadnych dowodów na to, że luka ta została wykorzystana przez przestępców.