Una vulnerabilidad crítica presente en la aplicación profesional de colaboración Microsoft Teams expone a los usuarios al robo de datos y ataques de 'ransomware', a través del uso de archivos de imagen GIF maliciosos.
El fallo de seguridad se encuentra presente en las versiones de escritorio y navegador de Microsoft Teams, como ha informado en un comunicado la compañía de ciberseguridad CyberArk Labs, que lo ha descubierto.
La vulnerabilidad aprovecha un subdominio comprometido y unGIF malicioso, que se envía a los usuarios desprevenidos de Teams, y quepermitiría a un atacante recabar todos los datos asociados con esa cuenta deTeams. El problema no requiere la interacción del usuario, ya que este notendría que compartir el GIF, sino solo visualizarlo.
El GIF malicioso tiene la capacidad de propagarse automáticamente a través de la plataforma de Microsoft y, en última instancia, el atacante puede hacerse cargo de todas las cuentas de Teams de una organización y de los datos que por ellas se transmiten.
La compañía CyberArk ha trabajado con Microsoft y el fallo de seguridad ya se encuentra solucionado, pero ha advertido de que el ataque podría replicarse potencialmente en otras plataformas de comunicación en el futuro.
Resumen de la investigación
• Los investigadores de CyberArk Labs descubrieron que al aprovechar una vulnerabilidad de adquisición de subdominio en Microsoft Teams, los atacantes podrían haber utilizado un GIF malicioso para recabar los datos del usuario y, en última instancia, hacerse cargo de todas las cuentas de cuentas de Teams de una organización.
• Dado que, para verse afectados, los usuarios no tendrían que compartir el GIF, sino solo visualizarlo, el GIF tiene la capacidad de propagarse automáticamente.
• Estavulnerabilidad habría afectado a todos los usuarios que usan las versiones deescritorio o de navegador web de Teams.
• CyberArk trabajó con el Centro de Investigación de Seguridad de Microsoft en el área de Divulgación de Vulnerabilidad Coordinada, tras descubrir esta vulnerabilidad en las cuentas y Microsoft lo solucionó rápidamente.