Una vulnerabilidad de Zoom descubierta mediante IA podría haber permitido a los atacantes tomar el control de cualquier dispositivo en una llamada
La empresa de ciberseguridad A Security ha revelado una vulnerabilidad en Zoom que podría haber permitido a los atacantes ejecutar código de forma remota y tomar el control del dispositivo de cualquier participante en una reunión. El fallo afectaba a todas las plataformas compatibles con Zoom, incluidas Windows, macOS, Linux, iOS y Android.
- Una vulnerabilidad en Zoom permitía a los atacantes tomar el control de dispositivos de forma silenciosa en todas las plataformas, sin requerir ninguna interacción del usuario
- Los investigadores utilizaron modelos de IA disponibles públicamente y menos de 20 prompts para descubrir el fallo y crear un exploit funcional
- La vulnerabilidad ya ha sido corregida, pero el episodio pone de relieve cómo la IA está transformando el descubrimiento de vulnerabilidades
- El fallo afectaba a cualquier persona en una llamada con pantalla compartida, tanto a participantes como al anfitrión
Según Wired, los investigadores encontraron vulnerabilidades en Zoom que podrían haberse explotado para tomar el control de los dispositivos de las víctimas. Cualquier persona en una llamada con pantalla compartida, ya fueran participantes o el anfitrión, habría sido vulnerable a un ataque silencioso llevado a cabo sin ninguna señal y sin requerir ninguna interacción de la víctima.
La IA reduce el descubrimiento de vulnerabilidades de meses a minutos
El aspecto más llamativo de este descubrimiento es cómo se llevó a cabo. El cofundador de A Security, Omer Gull, dijo a Wired que el equipo utilizó modelos de IA disponibles públicamente a principios de junio y necesitó menos de 20 prompts para descubrir las vulnerabilidades y crear un ataque funcional.
“Antes, un equipo de cinco personas habría tardado quizá seis meses, con mucho refinamiento e iteración, en encontrar esto”, afirmó Gull. “Ahora la gente puede lograr los mismos resultados con menos de 20 prompts. Y Zoom es un tipo de objetivo importante porque la gente asume que es de confianza cuando lo usa. No lo ven como una amenaza.”
En un detalle irónico, Lily Newman, de Wired, señaló que Gull le contó la historia durante una videollamada realizada en Microsoft Teams.
Corregido, pero una advertencia para la industria
A Security reveló la vulnerabilidad a Zoom, que desde entonces ha publicado un parche. El incidente subraya la doble naturaleza de la IA en la ciberseguridad: puede ayudar a los proveedores a identificar y corregir fallos más rápidamente, pero también reduce drásticamente la barrera para los atacantes que buscan agujeros de seguridad.
Los usuarios de Zoom deben asegurarse de que sus aplicaciones estén actualizadas a la última versión para recibir las correcciones de seguridad correspondientes.
