Хакеры используют видеозвонки в Teams и Zoom для скрытых атак

Исследователи из компании Praetorian выявили новый способ обхода киберзащиты, связанный с популярными платформами видеоконференций, такими как Microsoft Teams и Zoom. Речь идет о технике под названием Ghost Calls, позволяющей преступникам скрывать свою деятельность внутри абсолютно легитимного трафика через серверы TURN — это специальные сервисы, помогающие обеспечить работу конференц-связи через сложные корпоративные сети.

Всё происходит так: киберпреступники захватывают временные TURN-учетные данные, которые автоматически выдаются участникам видеозвонков, и используют их для создания защищённого туннеля между заражённым компьютером жертвы и своими машинами. По сути, злоумышленники проникают внутрь реального корпоративного звонка и маскируются под обычных сотрудников.

Вся активность атакующих проходит через IP-адреса и домены Teams или Zoom, к которым доверяют большинство компаний. Эти адреса внесены в белые списки и не отслеживаются системой безопасности. Из-за этого опасные данные проходят под видом нормального видеотрафика — отличить вредоносные действия почти невозможно.

Как отмечают эксперты Praetorian, такие атаки особенно сложны для обнаружения, потому что злоумышленники используют инфраструктуру, которая изначально разрешена даже в самых строго защищённых сетях — огненные стены, корпоративные прокси и системы глубокого анализа трафика TLS не дают результата. Более того, весь обмен данными между участниками видеоконференций шифруется сильными алгоритмами, например AES, что делает содержимое туннеля практически недоступным для проверки.

TURN-учетные данные живут всего пару дней, а затем становятся бесполезными, но за это короткое время преступники могут выполнить массу опасных действий — организовать утечку информации из компании, получить доступ к чувствительным данным. Особенно тревожно, что, по словам Praetorian, описанная лазейка — это не «дырка» в какой-то конкретной программе, которую легко закрыть обновлением. Для защиты необходимо создавать более сложные механизмы контроля и мониторинга трафика, чтобы находить и блокировать такие «призрачные» подключения.