Microsoft Teams: hakerzy mogli kraść konta. Wystarczył zabawny obrazek

Wyobraźnia hakerów nie ma granic. Aby przejąć kontrolę nad naszymi kontami czy urządzeniami często posuwają się do wyrafinowanych sztuczek. Z drugiej strony, w przypadku Microsoft Teams wystarczyło coś tak prostego, popularnego i niepozornego, jak... plik graficzny w formacie GIF.

Microsoft załatał już poważną lukę w aplikacji Teams, fot. Raymond Boyd/Getty Images

Jakub Krawczyński

27 kwietnia 2020, 12:29

Microsoft naprawił krytyczną lukę w Teamsach

Grupa specjalistów i badaczy cyberbezpieczeństwa z firmy CyberArk ujawniła poważny problem zabezpieczeń w Microsoft Teams. Użytkownicy, którzy oglądali śmieszne, animowane obrazki mogli paść ofiarą hakerów. Ci ostatni, dzięki temu trikowi, mogli uzyskać dostęp do konta, a nawet wykraść prywatne dane. Trzeba było po prostu kliknąć na taki GIF, a użytkownik nawet nigdy by się nie dowiedział, że coś mu skradziono.

Całe szczęście Microsoft zajął się już tym problemem i załatał tę lukę. Firma CyberArk uważa, że ten typ ataku nie jest łatwy do przeprowadzenia, ale można go powtórzyć także i na innych serwisach.

Schemat działania ataku na Microsoft Teams, fot. CyberArk

CyberArk powiadomił Microsoft o tej dziurze w zabezpieczeniach 23 marca 2020. Gigant z Redmond wydał aktualizację dla aplikacji Microsoft Teams 20 kwietnia 2020. Amerykańska firma twierdzi, że nie zaobserwowała żadnych innych przypadków jej użycia i najnowszym uaktualnieniem zabezpieczyła Teamsy przed zastosowaniem tej techniki.

Jak wyglądał taki atak?

Aplikacja Teams za każdym razem po otwarciu generuje tzw. token tymczasowego dostępu. Jest on uwierzytelniany przez domenę login.microsoftonline.com. Następnie poszczególne podserwisy Microsoftu używają dwóch rodzajów ciasteczek, "authtoken" i "skypetoken_asm" aby uwierzytelnić dostęp do poszczególnych serwisów w Teamsach.

To właśnie token Skype, z którego informacje szły dalej do teams.microsoft.com i powiązanych subdomen (dwie z nich były podatne na przejęcie kontroli) był źródłem tego problemu.

– Jeśli haker mógł w jakiś sposób zmusić przekierowanie użytkownika do tych przejętych subdomen, wtedy przeglądarka ofiary będzie przesyłała ciasteczka na serwer atakującego. Wtedy haker po otrzymaniu authtokena, mógłby stworzyć token Skype – opisała ten proceder ekipa CyberArk. I właśnie po wykonaniu tego kroku, atakujący mogli wykraść informacje z konta Microsoft Teams.

Całe opracowanie CyberArk można przeczytać pod tym adresem.

[frame]Microsoft Teams na Windowsa, Androida, iOS-a i inne platformy jest dostępny w naszym katalogu oprogramowania.[/frame]

Jakub Krawczyński