Une vulnérabilité nouvellement divulguée dans Zoom a déclenché de nouvelles inquiétudes en matière de cybersécurité parmi les utilisateurs de cryptomonnaies, en particulier ceux qui gèrent des actifs numériques sur les mêmes ordinateurs qu'ils utilisent pour la visioconférence.

L'exploit, surnommé « Zoomsday », pourrait permettre à un participant malveillant à une réunion de prendre le contrôle de l'appareil d'un autre participant sans nécessiter le moindre clic ou autre interaction visible de la part de la cible. Les exploits en zéro-clic sont particulièrement dangereux car ils contournent la couche de défense la plus courante de l'utilisateur : la prudence avant de cliquer. Cela pose un risque particulier pour les utilisateurs de cryptomonnaies, car une machine compromise peut exposer les sessions de navigateur, les identifiants d'authentification et les données de portefeuille stockées localement. Il n'y a cependant aucun reportage crédible indiquant que des attaquants aient exploité spécifiquement Zoomsday pour voler des cryptomonnaies.

Prise de contrôle silencieuse de l'appareil

Des chercheurs de la société de cybersécurité A Security ont identifié la faille dans le système d'annotation en temps réel de Zoom. Selon les chercheurs, ils ont développé un exploit fonctionnel utilisant moins de 20 invites avec des modèles d'IA disponibles publiquement.

L'attaque permettrait à un participant à une réunion d'exécuter du code malveillant sur l'appareil d'un autre participant. Les chercheurs ont noté que la compromission pourrait se produire sans aucun avertissement visuel clair ni interaction de la part de la victime.

La vulnérabilité affectait les applications Zoom sur Windows, macOS, Linux, Android et iOS. Zoom a depuis publié des correctifs pour les logiciels concernés. Les plateformes de visioconférence se sont rapidement développées dans un usage professionnel et grand public pendant la pandémie, élargissant la surface d'attaque pour les chercheurs et les attaquants. Cependant, la vitesse d'adoption n'a pas toujours été suivie par la vitesse à laquelle les utilisateurs appliquent les correctifs, laissant des fenêtres d'exposition qui peuvent persister longtemps après que les correctifs soient disponibles.

Les utilisateurs de crypto sont confrontés à un risque accru

Pour les investisseurs en cryptomonnaies, l'inquiétude va bien au-delà de l'application Zoom elle-même. Une compromission réussie de l'appareil pourrait donner aux attaquants une base pour cibler les comptes de navigateur, les gestionnaires de mots de passe ou d'autres informations sensibles utilisées pour accéder aux services financiers.

Les utilisateurs d'actifs numériques conservent fréquemment des comptes de change, des extensions de portefeuille et des outils d'authentification sur leurs ordinateurs personnels. Une compromission au niveau de l'appareil pourrait donc créer des opportunités pour les attaquants d'aller au-delà de la vulnérabilité initiale de Zoom. Le secteur de la crypto a été à maintes reprises témoin de pertes attribuées à des compromissions au niveau des terminaux, notamment des remplacements d'adresses par des logiciels malveillants de presse-papiers, des extensions de navigateur malveillantes et des campagnes d'hameçonnage d'identifiants. Les portefeuilles matériels peuvent réduire l'exposition car les clés privées restent généralement isolées de l'ordinateur. Ils n'éliminent cependant pas tous les risques, en particulier si les attaquants prennent le contrôle des comptes ou manipulent les transactions via un appareil compromis.

La priorité immédiate pour les utilisateurs de Zoom est d'installer les dernières mises à jour disponibles et de s'abstenir d'effectuer des activités financières sensibles sur des appareils non corrigés.

Zoomsday souligne également un défi plus large pour l'industrie de la crypto. Alors que l'IA accélère et démocratise la recherche sophistiquée sur les vulnérabilités, les attaquants pourraient acquérir de nouvelles voies pour cibler les appareils qui se trouvent entre les utilisateurs et leurs actifs numériques.