Pandemia koronawirusa sprawiła, że firmy musiały odesłać większość swojego personelu do pracy w domu. Tym samym nastąpił ogromny wzrost zainteresowania platformami służącymi do zdalnej współpracy. Jednym z najpopularniejszych rozwiązań w tej grupie produktów jest Microsoft Teams realizujący funkcje chata wideo, komunikatora internetowego, a także udostępniania plików. Rosnąca popularność narzędzi do komunikacji nie umknęła uwadze hakerów. Tym bardziej powinny niepokoić informacje o lukach występujących w narzędziach do wideokonferencji i pracy zespołowej. Niedawno bardzo głośno było o problemach Zooma. Ale miesiąc temu badacze z CyberArk wykryli poważną lukę w oprogramowaniu Microsoft Teams. Napastnicy za pomocą spreparowanego GIF-a mogli wykraść dane użytkownika aplikacji, a następnie przejąć kontrolę nad wszystkimi kontami pozostałych członków zespołu pracujących z Microsoft Teams. Co ciekawe, użytkownicy platformy nawet nie musieli udostępniać niebezpiecznego GIF-a, wystarczyło jedynie go wyświetlić poprzez Microsoft Teams, po czym złośliwy obrazek automatycznie rozprzestrzeniał się po sieci.
To wyjątkowo groźna forma ataku. Sam fakt, iż samo wyświetlenie obrazka infekuje konto użytkownika Microsoft Teams, budzi poważny niepokój. Również sposób i tempo rozsiewania złośliwego GIF-a na inne firmowe konta znacznie ułatwia przejęcie kontroli nad członkami zespołu – mówi Mariusz Politowicz z firmy Marken dystrybutora rozwiązań Bitdefender w Polsce.
Cyberprzestępca korzystający z tej formy ataku mógł zyskać dostęp do wszystkich danych z kont użytkowników Microsoft Teams, gromadząc poufne informacje np. kalendarze spotkań, hasła, biznesplany itp.
Podatność na ataki wiązała się ze sposobem w jaki sposób Microsoft obsługiwał tokeny uwierzytelniające do przeglądania obrazów w Microsoft Teams. Tokeny były na serwerze pod adresem teams.microsoft.com lub dowolną subdomeną. CyberArk zauważył, że możliwe było przejęcie dwóch z tych subdomen – aadsync-test.teams.microsoft.com i data-dev.teams.microsoft.com – w ramach ataku. Badacze odkryli, że jeśli hakerowi udałoby się zmusić potencjalną ofiarę do odwiedzenia przechwyconych subdomen, tokeny uwierzytelniające zostałyby przekazane na serwer napastnika. To z kolei pozwalałoby utworzyć kolejny token o nazwie „skype”, który otwierał dostęp do konta ofiary.
– Konieczność wykorzystania wrażliwej subdomeny zmniejsza zdolność napastnika do skutecznego przeprowadzenia ataku. Ale ten przypadek pokazuje, że firmy muszą kontrolować subdomeny. Czasami są one tworzone w celach testowych lub krótkich kampanii marketingowych. Należy się upewnić, że nie zostaną one wykorzystane później do niecnych celów – tłumaczy Mariusz Politowicz.
CyberArk poinformował Microsoft o istnieniu luki 23 marca. W ciągu miesiąca Microsoft wprowadził niezbędne poprawki. Firma twierdzi, iż nie ma żadnych dowodów na to, że luka ta została wykorzystana przez przestępców.