Kritische Zoom-Sicherheitslücke an einem Tag mit gewöhnlichen KI-Modellen ausgenutzt

Zoom hat eine schwerwiegende Sicherheitslücke behoben, die es Hackern ermöglichte, Geräte von Videokonferenzteilnehmern heimlich zu übernehmen. Forschern der Firma A Security gelang es, mit öffentlich zugänglichen KI-Modellen in nur einem Tag einen funktionierenden Exploit zu entwickeln. Die als Zoomsday bezeichnete Schwachstelle stand im Zusammenhang mit der Annotation-Funktion, die es Nutzern erlaubte, Markierungen auf dem geteilten Bildschirm vorzunehmen. Für einen Angriff musste ein Angreifer lediglich ein Meeting starten oder an einer fremden Konferenz teilnehmen, wonach er auf den Geräten anderer Teilnehmer remote schädlichen Code ausführen konnte. Dies ermöglichte den Zugriff auf deren Daten, die unbefugte Aktivierung von Kameras und Mikrofonen sowie die Installation von Schadsoftware, wie The Verge berichtet. Die Opfer mussten keine Aktionen durchführen, und es gab keine sichtbaren Anzeichen einer Gerätekompromittierung auf dem Bildschirm. Idan Levcovich, ein Sicherheitsforscher bei A Security, merkte in einem Firmenblog an, dass die Erstellung solcher Exploits bisher als eine Aufgabe auf Staatsebene galt, die Elite-Teams, monatelange Arbeit und große Budgets erforderte. Die Forscher erstellten den funktionierenden Exploit mit Hilfe eines KI-Agenten und nur 20 Abfragen an öffentliche KI-Modelle. Nach der Offenlegung veröffentlichte Zoom Updates für Anwendungen auf Windows, macOS, Linux, Android und iOS. The Verge merkt an, dass der Vorfall tatsächlich die Befürchtungen von Cybersicherheitsexperten bestätigte: Werkzeuge, die bisher nur einem kleinen Kreis von Fachleuten zur Verfügung standen, können nun von jedem Nutzer öffentlicher neuronaler Netze zur Erstellung ausgefeilter Angriffe verwendet werden.