Zoom客戶端聊天模塊曝“驚天漏洞”，可暴力破解目標用戶Windows登錄憑據(jù)

4月1日，Windows 版 Zoom 客戶端曝出了一個極其嚴重的安全漏洞。攻擊者通過該漏洞，可逆向“爆破”目標用戶的Windows的登錄憑據(jù)，掌握系統(tǒng)最高權限，并隨意啟動目標用戶的程序，如CMD命令符等。這一漏洞的披露，對遠程工作者猶如晴天霹靂，全球上下一片嘩然。

震驚之余，智庫也對此進行了深度追蹤分析，發(fā)現(xiàn)威脅起源于Zoom客戶端中的一個聊天模塊。該模塊是Zoom官方為優(yōu)化遠程辦公體驗，開設的一個用于文本交流的群聊功能。在這里，所有成員發(fā)出來的URL鏈接都會被系統(tǒng)轉(zhuǎn)換，以便群內(nèi)的其他成員點擊。

然而，這一“轉(zhuǎn)換”恰恰卻成了黑客攻陷用戶系統(tǒng)的絕佳突破口。因為Zoom客戶端不僅會處理群聊中的常規(guī)URL鏈接，還會將員工遠程訪問共享文件的Windows網(wǎng)絡UNC 路徑也給轉(zhuǎn)換成可被點擊的鏈接。

UNC（Universal Naming Convention）：通用命名規(guī)范。主要指局域網(wǎng)上共享資源的文件目錄路徑。比如，要訪問softer計算機中名為it168的共享文件夾，用UNC表示就是\softerit168。

當用戶點擊UNC路徑時，Windows會通過發(fā)送用戶登錄名和NTLM密碼哈希值，使用SMB網(wǎng)絡共享文件協(xié)議連接到遠程站點。在此過程中，Zoom用戶的IP地址、域名、用戶名和主機名隨時都可能被泄露。瞬而，黑客組織便可據(jù)此使用John the Ripper之類的密碼破解器，在幾秒鐘之內(nèi)，迅速暴力破解使用普通GPU（Graphics Processing Unit：圖形處理器，主要用于系統(tǒng)信息轉(zhuǎn)換驅(qū)動）的電腦密碼。

SMB（ServerMessageBlock）文件共享協(xié)議：也稱服務器消息模塊，是一種局域網(wǎng)文件共享傳輸協(xié)議，常被用來作為共享文件安全傳輸研究的平臺，而NTLM則是該協(xié)議下的一種身份驗證方式。

雖然，Windows會在程序被執(zhí)行前發(fā)出是否允許運行的提示。但關于此次漏洞的爆破“影響值”，安全研究員提醒仍不容小覷。20230822zx