Kritieke Zoom-kwetsbaarheid in één dag uitgebuit met behulp van gewone AI-modellen

Zoom heeft een ernstige kwetsbaarheid verholpen waarmee hackers heimelijk apparaten van deelnemers aan videoconferenties konden overnemen. Onderzoekers van het bedrijf A Security ontwikkelden in slechts één dag een werkende exploit met behulp van openbaar beschikbare AI-modellen. De kwetsbaarheid, genaamd Zoomsday, had te maken met de annotatiefunctie, waarmee gebruikers tekeningen konden maken op het gedeelde scherm. Om een aanval uit te voeren, hoefde een aanvaller alleen maar een vergadering te starten of zich bij andermans conferentie aan te sluiten, waarna ze op afstand kwaadaardige code konden uitvoeren op de apparaten van andere deelnemers. Dit gaf toegang tot hun gegevens, maakte ongeautoriseerde activering van camera's en microfoons mogelijk, en stond het installeren van malware toe, aldus The Verge. Slachtoffers hoefden geen enkele actie te ondernemen, en er waren geen visuele tekenen van compromittering van het apparaat op het scherm. Idan Levcovich, een kwetsbaarheidsonderzoeker bij A Security, merkte in een bedrijfsblog op dat het maken van dergelijke exploits voorheen werd beschouwd als een taak op staatsniveau waarvoor elite-teams, maanden werk en grote budgetten nodig waren. De onderzoekers creëerden de werkende exploit met behulp van een AI-agent en slechts 20 queries aan openbare AI-modellen. Na de openbaarmaking bracht Zoom fixes uit voor applicaties op Windows, macOS, Linux, Android en iOS. The Verge merkt op dat het incident feitelijk de angsten van cyberbeveiligingsexperts bevestigde: tools die voorheen alleen beschikbaar waren voor een kleine kring van professionals, kunnen nu worden gebruikt om geavanceerde aanvallen te creëren door elke gebruiker van openbare neurale netwerken.