新智元報導
來源：BleepingComputer等
編輯：嘯林
疫情之下，Zoom起落堪比過山車
新冠流行爆發後，全球範圍內大多數公司的員工只能在家遠程工作，用視頻會議來保持業務運轉，所以各視頻會議平臺使用量激增。
老牌視頻會議平臺Zoom從發布到現在已經9年。乘著風口，Zoom從2019年底的1000萬日活用戶，增長到今年3月底的2億，增速堪比坐火箭。
正如《時代周報》所說，「在全球資本市場哀鴻遍野之時，Zoom的股價一枝獨秀，較IPO發行價翻了三倍多，市值達到350多億美元。」
但黑客們也同樣不會錯過新冠帶來的風口。網絡詐騙分子、犯罪分子，甚至民族和國家主義者都在全力開發從網絡釣魚攻擊到惡意軟體，再到詐騙的所有內容。針對視頻會議平臺這個新興、脆弱的巨大油水的攻擊也大舉開始。
Zoom近期爆出一系列漏洞
Zoom本身就有頗多安全漏洞。早在2019年7月，就曾傳出Zoom軟體加密缺陷的新聞，如今用戶數量飆升，其對加密技術的忽視就被愈加放大。
在全球黑客組織的猛烈進攻下，Zoom在最近爆出了一系列的隱私安全漏洞：
比如安全加密手段不嚴，導致數以萬計的私人Zoom視頻被上傳至公開網頁，任何人都可在線圍觀，有的還包括參會人員的個人信息；
甚至有多個Zoom網絡教室和電話會議頻遭「劫持」，在視頻會議期間播放爆炸音樂或視頻、種族歧視甚至色情內容。這種做法也稱為「Zoom轟炸」（Zoom-bombing）。
問題接二連三，Zoom遭到 SpaceX 和 NASA 內部禁用，甚至FBI也向用戶發出警告，提醒其使用 Zoom 時注意網絡安全問題，包括紐約在內的多個學校也不再使用Zoom上網課。
超過50萬個Zoom帳戶在暗網出售，1塊錢買7000個
Zoom遭到的重錘還不止這些。今天最新消息，在暗網和黑客論壇上，黑客正在免費提供一些Zoom帳戶，以便其他黑客用於「Zoom轟炸」惡作劇和惡意活動，從而在黑客社區中為自己獲得越來越高的聲譽。用來售賣的部分則單條售價不到一美分。
這對Zoom來說是坐實用戶信息大量洩露的實錘。
提供Zoom帳戶以贏得聲譽
在看到賣家在黑客論壇上發布帳戶後，網絡安全情報公司Cyble出手購買了大量帳戶，以便可以將其用於警告客戶潛在的漏洞。
Cyble最終以每個帳戶0.002美分的價格，即一塊人民幣7000個帳戶左右的價格，購買了超過53萬張Zoom憑證。
購買的帳戶包括受害者的電子郵件地址，密碼，個人會議URL及其HostKey。
在黑客論壇上出售的Zoom帳戶
這些帳戶的電子郵件地址和密碼組合的列表被通過文本共享站點共享。
在本圖中，佛蒙特大學，科羅拉多大學，達特茅斯，拉斐特，佛羅裡達大學等學校的290個Zoom帳戶被免費po出。
受害帳戶除了個人帳戶外，還包括許多銀行，諮詢公司，教育機構，醫療保健提供商和軟體供應商等公司帳戶。
如何破解Zoom等軟體？黑客們討論得熱火朝天
在暗網論壇上，視頻會議和協作工具的漏洞和利用的討論急劇上升。
有些用戶甚至忽略了最基本的安全措施，例如使用密碼或個人密碼保護在線會議的安全–甚至公開顯示其會議ID（例如英國政府的情況）–進而使攻擊者可以利用。
儘管用戶名和密碼通常在不同的論壇上共享或出售，但有趣的是隨後的一些討論。
一位論壇參與者詢問如何訪問Zoom會議。
一些帖子和主題討論了針對Zoom會議服務的不同方法，其中一些重點在於Zoom檢查服務（Checker）和憑據填充。
檢查服務在信用卡欺詐中很常見-其想法是通過進行小額捐贈來檢查被盜的信用卡是否「新鮮」。如果捐贈通過，則該卡「新鮮」，可用於欺詐性交易。
這些帳戶憑據是通過憑據填充攻擊收集的。黑客用在較早的數據洩露中洩漏的帳戶嘗試登錄Zoom，成功登錄的帳戶將被彙編成列表，然後出售給其他黑客。有的密碼是舊密碼，這表明其中一些憑證可能來自較舊的憑證填充攻擊。
這是一種蠻力攻擊形式，它利用通常通過網絡釣魚攻擊和數據洩露獲得的登錄信息（用戶名和密碼），來試著在其他網站登錄。Zoom帳戶的可用性使攻擊者能潛在地獲取有關該帳戶的其他數據。
暗網中的一個討論者建議使用OpenBullet的Zoom特定配置。OpenBullet是一個Web測試套件，可用於刮擦和解析數據，進行自動筆測試等。
OpenBullet的GitHub頁面將其描述為「一個網絡測試套件……可用於抓取和解析數據，自動進行筆測試，通過硒進行單元測試等等……「對於此軟體的不當使用，開發人員概不負責。」
OpenBullet只是幾個易於使用的開源工具之一，可以簡化憑據填充的過程。
儘管有多種技術可用來對抗憑據填充（例如使用驗證碼），比如雙重因素身份驗證並限制來自特定IP或特定時間間隔的登錄嘗試次數，但這給性能和用戶體驗帶來了負擔。
安全團隊：不止一種工具可以破解Zoom帳戶
受到攻擊的不只是Zoom。Cisco Webex Web會議平臺也被爆可被用於網絡釣魚的嚴重漏洞。
用戶如何保護自己？
更改登錄密碼。既然黑客是在利用之前洩露的舊密碼登錄Zoom，那麼換密碼就完事兒了，且最好使每個網站設置獨立密碼（雖然這對普通人來說根本不可能記得住）。
你還可以在這個數據洩露網站查看自己的數據是否已被洩露：
https://haveibeenpwned.com/
如果你還是想用Zoom來開視頻會議，請採取以下安全防禦措施：
為Zoom會議保留隨機生成的密碼；使用等候室功能；及時更新Zoom客戶端；禁用參與者屏幕共享；每個人加入完畢後鎖定會議；不要發布會議的公共連結；警惕以Zoom為主題的惡意軟體。
參考連結：
在黑客論壇（暗網）上出售了超過500,000個Zoom帳戶
https://www.bleepingcomputer.com/news/security/over-500-000-zoom-accounts-sold-on-hacker-forums-the-dark-web/
放大目標：網絡犯罪分子自動攻擊遠程工作人員
https://intsights.com/blog/zooming-in-on-the-target-cybercriminals-automate-attacks-against-remote-workers
暗網上可出售超過500,000個Zoom帳戶
https://securityaffairs.co/wordpress/101528/deep-web/zoom-accounts-dark-web.html
暗網黑客：Zoom客戶端漏洞居然允許黑客竊取用戶Windows密碼