Zoom के स्क्रीन शेयरिंग फीचर में सिक्योरिटी फ्लॉ की वजह से हैकर्स उन डिवाइसों का कंट्रोल ले सकते थे, जिनसे लोग पॉपुलर वीडियो कॉन्फ्रेंसिंग प्लेटफॉर्म पर कॉल जॉइन करते थे। रिसर्चर्स ने यह खुलासा किया है।

यह खामी मंगलवार, 11 अगस्त को डिजिटल डिफेंस फर्म A Security के रिसर्चर्स के एक ग्रुप ने सार्वजनिक की। इस साल जून में पहली बार इस बग का पता चला था, जिसका फायदा उठाकर हैकर्स टारगेट के डिवाइस पर कब्जा कर सकते थे। स्क्रीन शेयरिंग वाली कॉल में शामिल होने वाले पार्टिसिपेंट्स और होस्ट्स, दोनों ही इस गुप्त साइबर अटैक के शिकार हो सकते थे।

रिसर्चर्स ने बताया कि यह एक ज़ीरो-डे (पहले से अनजान) फ्लॉ था, जिसे विक्टिम की ओर से किसी भी एक्शन (जैसे लिंक पर क्लिक करना) की जरूरत के बिना एक्सप्लॉइट किया जा सकता था (ज़ीरो-क्लिक अटैक)। रिसर्चर्स को इस खामी का पता लगाने और एक वर्किंग साइबर अटैक सिम्युलेट करने के लिए पब्लिकली अवेलेबल AI मॉडल्स को 20 से भी कम प्रॉम्प्ट्स देने पड़े।

Zoom को सपोर्ट करने वाले किसी भी ऑपरेटिंग सिस्टम (जैसे Windows, macOS, Linux, iOS और Android) पर चलने वाले डिवाइस इस ज़ीरो-डे, ज़ीरो-क्लिक अटैक की चपेट में आ सकते थे।

रिसर्चर्स के निष्कर्ष ऐसे समय में आए हैं जब AI मॉडल्स में काफी एडवांस क्षमताएं आ गई हैं, जिससे उन्हें मौजूदा सॉफ्टवेयर सिस्टम में खामियां खोजने और उन्हें एक्सप्लॉइट करने के तरीके विकसित करने के साथ-साथ AI एजेंट्स के जरिए एंड-टू-एंड ऑटोमेटेड हैकिंग करने में इस्तेमाल किया जा सकता है।

पिछले कुछ हफ्तों में OpenAI, Anthropic, Meta और Moonshot AI जैसी प्रमुख AI कंपनियों ने लगातार सिक्योरिटी इंसिडेंट्स का खुलासा किया है, जिनमें शक्तिशाली नए मॉडल्स पर बने AI एजेंट्स कंटेनमेंट तोड़कर HuggingFace जैसे बाहरी प्लेटफॉर्म्स को हैक कर रहे थे।

हालांकि, बग्स की तलाश के लिए AI टूल्स का इस्तेमाल भी थ्रेट एक्टर्स और साइबर डिफेंडर्स के बीच चल रहे 'बिल्ली-चूहे वाले खेल' का अहम हिस्सा बनकर उभरा है।

यह स्पष्ट नहीं है कि Zoom की खामी का पता लगाने के लिए किन मॉडल्स का इस्तेमाल किया गया। हालांकि, टेक इंडस्ट्री में कुछ लोगों का तर्क है कि चीनी ओपन-वेट मॉडल्स साइबर सिक्योरिटी रिसर्च के लिए OpenAI और Anthropic के फ्रंटियर AI मॉडल्स से ज्यादा उपयोगी हो सकते हैं, क्योंकि उन पर कड़े साइबर गार्डरेल्स लगे होते हैं।

“हमारे लिए जो दिलचस्प है और जो हमें खतरनाक लगता है, वह है इन क्षमताओं का लोकतंत्रीकरण—इसमें प्रवेश की बाधा तेजी से गिर रही है,” A Security के सह-संस्थापक ओमर गुल ने Wired से कहा।

“पहले इसे खोजने के लिए पांच लोगों की टीम को शायद छह महीने लगते, बहुत सारे रिफाइनिंग और इटरेशन के साथ। अब लोग 20 से कम प्रॉम्प्ट्स में वही परिणाम हासिल कर सकते हैं। और Zoom एक अहम टारगेट है क्योंकि लोग इसका इस्तेमाल करते समय भरोसा करते हैं। वे इसे खतरे के रूप में नहीं देखते,” गुल ने आगे कहा।

“अगर आप हमारे साथ Zoom पर आ जाते हैं, तो हम आपके डिवाइस पर कब्जा कर सकते हैं। सबसे बुरा परिदृश्य यह है कि हम इस खामी को अपने हाथ में लेकर किसी एंटरप्राइज पर कब्जा कर सकते हैं। अगर मैं अटैकर हूं, तो मैं किसी कंपनी के किसी व्यक्ति के साथ कॉल पर जुड़ सकता हूं, उनके कंप्यूटर और उनके क्रेडेंशियल्स का कंट्रोल ले सकता हूं, और फिर उनका इस्तेमाल एंटरप्राइज में लेटरली मूव करने के लिए कर सकता हूं,” फर्म के एक अन्य सह-संस्थापक योस्सी तोराती ने कहा।

यह सिक्योरिटी खामी उस प्रोटोकॉल में पाई गई जिसका इस्तेमाल Zoom पर स्क्रीन शेयरिंग के दौरान रीयल-टाइम एनोटेशन की सुविधा के लिए किया जाता है।

रिसर्चर्स ने कहा कि उनके AI-पावर्ड बग हंटिंग सिस्टम को खास तौर पर सॉफ्टवेयर के उन फंक्शन्स की जांच करने के लिए ट्रेन किया गया है जो अस्पष्ट और जटिल हैं, क्योंकि कोड रिव्यू और सिस्टम ऑडिट के दौरान उन्हें अनदेखा किए जाने की संभावना सबसे ज्यादा होती है।

Zoom जैसे प्रोप्राइटरी, बंद प्लेटफॉर्म इस मामले में विशेष रूप से कमजोर हैं, क्योंकि उन्हें पब्लिक, ओपन रिव्यू का लाभ नहीं मिलता।

रिसर्चर्स के निष्कर्षों के जवाब में, Zoom ने मंगलवार को एक सिक्योरिटी एडवाइजरी जारी की, जिसमें उसने स्क्रीन शेयरिंग फीचर में खामी को ठीक करने के लिए जारी किए गए फिक्सेस की जानकारी दी।

ज़ीरो-क्लिक फ्लॉ को अब Zoom ने सर्वर और क्लाइंट दोनों तरफ से पैच कर दिया है, जिसमें कस्टमर डिवाइस पर चलने वाले एप्लिकेशन भी शामिल हैं। हालांकि, A Security के रिसर्चर्स ने जोर देकर कहा कि वे इस बात से चिंतित हैं कि कितनी आसानी से कोई थ्रेट एक्टर इस ज़ीरो-क्लिक फ्लॉ का फायदा उठाकर पीड़ितों को सिर्फ Zoom कॉल में शामिल कराकर उनके डिवाइस को हाईजैक कर सकता था।