تحليل بسيط لتطبيق Zoom

هاد اليومين الأخيرة شركة Zoom و التطبيق ديالها اللي انتشر الإستعمال ديالو بشكل كبير بسبب الظروف الحالية، و فنس الوقت ولات تحت اعين المهتمين بالأمن المعلوماتي، بعد ما تم مؤخرا اتهام الشركة ببيع معلومات المستعملين لفايسبوك و خاصيات غير مرغوبة فحال بروفيلات Linkedin او الصورة اللي بارطاجا رئيس الوزراء البريطاني خلال اجتماع عن طريق نفس البرنامج، و اللي بان فيها الID ديال الإجتماع بشكل واضح لكن لحسن الحظ انه كان محمي .

بعد ما بان فوسائل الاعلام اللي سماوه Zoom Bombing و اللي ببساطة هو بنادم بلا شغل كيشد و يدخل على اجتماعات ديال شركات او حتى عائلات و اما كيتجسسو عليهم او كيقومو بعرض محتويات جنسية لدرجة ان الFBI خرّجات تحذير للمستعملين انهم يقومو بحماية اجتماعاتهم بكلمة مرور و يديرو خاصية التحكم بالشاشة لتفادي هاد النوع من الهجمات.

باش نشوف مدى خطورة الأمر، انسطاليت تطبيق Zoom و طلقت Charles Proxy نشوف اش كاين :

الMeeting ID كيكون فيه ما بين 9 و 11 رقم، دوزت الRequest لBurp Intruder باش نقاد التجربة ديال Bruteforce

و قاديت العدد المطلوب و شحال من مرة غادي يجرّب و بالسرعة المطلوبة، عندنا من 9 ارقام اللي هي مية مليون الى 11 رقم اللي هي 10 مليار احتمال، درتو يجرّب غير 10000 احتمال منهم بشكل عشوائي

و فعلا، ما كاملاش دقيقة كانو بداو ID’s ديال اجتماعات بداو كيطيحو فالألف احتمال اللول

الغريب فالأمر انه حتى واحد فيهم ما كان محمي بشي كلمة مرور، و هذا راجع للشركة بدرجة اولى اللي خاصها تدير لكل اجتماع كلمة مرور عشوائية، و بدرجة ثانية للمستعملين اللي ما كيحميوش اجتماعاتهم و هادا مثال :

لكن المفاجأة الكبرى هي هاد الإجتماع اللي لقيت محلول ديال شركة Pepsi

اضافة لهادشي درت محاولة باش نخمن كلمة المرور للاجتماعات المحمية، فتحت اجتماع من التيليفون، و حاولت ندخلو بنفس الطريقة لفوق لكن كيبان ان الشركة بدات فاجراءات الحماية و ولات كلمة المرور ما كتبقاش خدّامة بعد عدد معين من المحاولات الخاطئة.