Ifølge analytikere fra cybersikkerhetsselskapet Vectra er det en enorm sårbarhet i Microsoft Teams, og utallige brukere kan potensielt bli påvirket hvis hackere får tak i det.
Programmet har en feil som gjør det mulig for angripere å stjele påloggingsinformasjonen til brukere og logge seg på kontoene deres. Dessverre planlegger ikke Microsoft å lappe dette akkurat nå, så les videre for å forsikre deg om at du holder deg trygg fra dette uventede Microsoft Teams-problem.
Denne feilen, først oppdaget i august 2022, er ganske alvorlig, men den er heller ikke så lett å utføre. Det gjelder for skrivebordsversjoner av Microsoft Teams programvare (altså ikke nettleserversjonen) og påvirker brukere på Windows, Linux og Mac.
I slekt
- De vanligste Microsoft Teams-problemene, og hvordan du løser dem
- Microsoft Teams får nye AI-verktøy – og de er gratis
- Kinesiske hackere retter seg mot kritisk amerikansk infrastruktur, advarer Microsoft
Alt kommer ned til måten Teams lagrer brukerautentiseringstokener på – i klartekst, uten ekstra beskyttelse. Det ville vært katastrofalt hvis det ikke var avhengig av én nøkkelfaktor: En angriper må ha lokal tilgang til systemet der Microsoft Teams er installert.
Anbefalte videoer
Forutsatt at en angriper har lokal tilgang til nettverket, kan de stjele autentiseringstokenene og logge på offerets konto.
Connor Peoples, en forsker fra Vectra, sa at trusselen ligger dypere enn at bare én konto blir kompromittert; det lar angriperen kapre kontoer som potensielt kan forstyrre driften til en hel organisasjon.
"Å [ta] kontroll over kritiske seter - som et selskaps ingeniørsjef, administrerende direktør eller finansdirektør - kan angripere overbevise brukere om å utføre oppgaver som skader organisasjonen," sa Peoples i rapportere.
Hvordan fungerer alt dette? Blødende datamaskin forklarte det mer detaljert, men novellen er at Microsoft Teams er en Electron-app og kommer med alle elementene som kreves av en vanlig nettside, for eksempel informasjonskapsler og øktstrenger. Electron støtter ikke filkryptering eller etablering av beskyttede plasseringer, og det er grunnen til at brukerlegitimasjonen ikke blir beskyttet slik de burde være.
Under sin forskning fant Vectra en fil med tilgang til brukertokens i klartekst. "Ved gjennomgang ble det fastslått at disse tilgangstokenene var aktive og ikke en utilsiktet dump av en tidligere feil. Disse tilgangstokenene ga oss tilgang til Outlook- og Skype-APIene, heter det i selskapets rapport.
Enda mer data ble funnet etter videre forskning, inkludert gyldige autentiseringstokener og kontoinformasjon. Vectra fant også en måte å utnytte appen på og var i stand til å motta tokens i sitt eget chattevindu.
Det er bekymringsfullt at dette sikkerhetsproblemet for øyeblikket er der ute, men Microsoft anser det ikke som en stor nok trussel til å jobbe med å lappe det som en prioritet. En talsperson for Microsoft sa til Bleeping Computer: "Teknikken som beskrives oppfyller ikke vår bar for umiddelbar service, da den krever at en angriper først får tilgang til et målnettverk. Vi setter pris på Vectra Protects partnerskap for å identifisere og ansvarlig avsløre dette problemet og vil vurdere å ta det opp i en fremtidig produktutgivelse."
I mellomtiden, hvis du er bekymret for sikkerheten til Teams-kontoen din, er det en god idé å bytte til nettleserversjonen av Teams i stedet for skrivebordsklienten. Linux-brukere anbefales imidlertid å bytte til en annen app – spesielt fordi Microsoft planlegger å slutte å støtte Linux-versjonen av Teams innen utgangen av dette året.
Redaktørenes anbefalinger
- Hvordan sjefen din kan spionere på deg med Slack, Zoom og Teams
- Hvordan slette en side i Word
- Denne kritiske utnyttelsen kan la hackere omgå Mac-ens forsvar
- Du kan nå prøve ut avatarer og virtuelle rom i Microsoft Teams
- Microsoft Build 2023: de største kunngjøringene innen AI, Windows og mer
Oppgrader livsstilen dinDigitale trender hjelper leserne å følge med på den fartsfylte teknologiverdenen med alle de siste nyhetene, morsomme produktanmeldelser, innsiktsfulle redaksjoner og unike sniktitter.
