Pirater Microsoft Teams avec un GIF ? C’est possible, la preuve

La popularité et l’ubiquité des logiciels de Microsoft en font une cible de choix pour les hackers de tout poil. Des chercheurs en sécurité ont dévoilé une technique de phishing qui, de par son attrait et si elle est utilisée à grande échelle, pourrait faire des dégâts.

Cette attaque prénommée GIFShell permettrait aux pirates d’utiliser Microsoft Teams pour subtiliser les données des utilisateurs. Ils exploitent pas moins de sept vulnérabilités de l’application de communication collaborative pour non seulement voler des données personnelles, mais aussi pour exécuter des commandes. Rien que de très classique jusque-là.

C’est “l'appât” utilisé qui rendrait cette campagne dangereuse, puisque le code malicieux se cache dans des GIF, ces images que les gens s’échangent sur les réseaux pendant les visios interminables sur Microsoft Teams, par exemple. Le site BleepingComputer explique que les chercheurs ont réussi à infiltrer l’infrastructure logicielle de Microsoft pour opérer leur campagne. Cela rend d’autant plus difficile la détection d'activités illicites, l’exfiltration des données paraissant tout à fait normale aux systèmes de surveillance des serveurs de Microsoft.

Comment GIFShell exploite les GIF pour voler vos données dans Teams

Les hackers ont compris que Microsoft ne scanne pas entièrement la partie encodée en Base64 des GIF. C’est là que réside le code malicieux, en cohabitation avec le vrai GIF. Comme les messages et les GIF sont stockés dans des fichiers facilement accessibles, il ne reste aux hackers qu’à exécuter le programme intégré dans le fichier image pour rediriger l’entrée et la sortie du shell de la victime vers un ordinateur distant. Se faire passer pour des utilisateurs légitimes aux yeux des contrôles de sécurité des serveurs de Microsoft, modifier les fichiers envoyés et les liens générés par Microsoft pour que les utilisateurs téléchargent un exécutable sur un serveur distant: les étapes à franchir sont nombreuses, et pas franchement à la portée du premier hacker.

C’est peut-être la raison pour laquelle, trois mois après la découverte des diverses failles de sécurité qu’exploite GIFShell, Microsoft n’a toujours pas agi pour éliminer ces dernières. Dans leur réponse aux chercheurs, sans pour autant nier le problème, ils en appellent surtout à la responsabilité individuelle des utilisateurs de Microsoft Teams: “nous recommandons aux utilisateurs d'adopter de bonnes habitudes en ligne, notamment de faire preuve de prudence lorsqu'ils cliquent sur des liens vers des pages Web, ouvrent des fichiers inconnus ou acceptent des transferts de fichiers”.

Source: BleepingComputer