Zoom의 Vanity URL 기능에서 취약점 발견, 피싱 공격에 이용되었을 가능성 있어

A flaw in Zoom’s Vanity URL feature could have been exploited in phishing attacks

해커들이 피싱 공격에 Zoom 기능인 Vanity URL에 존재하는 취약점을 악용해왔을 가능성이 발견되었습니다.

Zoom 화상 회의 서비스는 코로나19가 유행하기 시작한 후 여러 조직, 학교, 개인들이 협업 툴로 사용하기 시작해 인기가 폭발적으로 치솟았습니다.

Check Point의 연구원들은 Zoom Vanity URL에서 취약점을 발견했습니다. 이 기능은 사용자가 회사의 커스텀 URL(예: yourcompany.zoom[.]us)인 ‘Vanity URL’을 생성하는데 사용할 수 있습니다. 

조직 내에서는 Vanity URL 메커니즘을 통해 Zoom 초대 링크를 커스터마이징할 수도 있습니다.

Check Point는 분석 보고서를 통해 아래와 같이 밝혔습니다.

“Zoom이 이 취약점을 수정하기 전, 공격자가 피해자에게 조직의 Vanity URL로 위장하여 정식 링크로 보이는 초대장을 보내는데 악용했을 가능성이 있습니다.”

“게다가 공격자는 피해자가 해당 초대장이 합법적인 조직에서 발송하지 않은 것을 인지하지 못한 채 관련 미팅 ID를 입력하도록 하는 서브 도메인으로 피해자를 이동시켰을 가능성이 있습니다.”

공격자들은 이 문제를 악용해 피해자가 받은 초대장이 회사의 Vanity URL로부터 전송되었을 것이라 믿도록 속일 수 있습니다. 

해당 URL은 실제로는 공격자가 등록한 서브 도메인을 가리키고 있을 수 있습니다.

이러한 방식을 통해 공격자는 피해자가 크리덴셜 및 기타 민감 정보를 공격자에게 넘겨주도록 속이는 것이 가능합니다.

“원본 초대 링크가 https://zoom[.]us/j/7470812100일 경우, 공격자는 이를 https://<조직명>[.]zoom[.]us/j/7470812100으로 변경하는 것이 가능합니다. 이러한 초대장을 받은 피해자는 해당 초대장이 실제 조직에서 발송되지 않았다는 사실을 알아낼 방법이 없었을 것입니다.”

“게다가, 공격자는 https://<조직명>[.]zoom[.]us/s/7470812100와 같이 /j/를 /s/로 변경할 수도 있었습니다. 해당 URL에 접속 시 조직의 로고가 표시되는 사례로 미루어 보아 추가적인 속임수가 있을 가능성이 높습니다. 또한 “가입하기” 버튼을 클릭할 경우 종종 피해자를 정식 포털로 이동시킵니다. 이 공격은 Vanity URL 기능을 사용 중인 관련 조직을 가장합니다.”

연구원들은 일부 조직에서 화상 회의에만 사용하는 전용 Zoom 웹 인터페이스를 대상으로 공격을 실행할 수도 있다고 밝혔습니다. 피해자를 악성 Vanity URL로 이동시켜 이 취약점을 악용하는 것이 가능했습니다.

“사용자는 이 화면에서 조직의 직원이 처음 예약했는지에 상관없이 어떠한 meeting ID도 입력할 수 있습니다.”

“공격자는 전용 웹사이트를 통해 피해자에게 세션에 참여하도록 초대했을 수 있습니다. 피해자는 해당 초대가 정식 조직에서 보내지 않은 것이라는 사실을 발견하기 어렵습니다.”

 

<이미지 출처: https://blog.checkpoint.com/2020/07/16/fixing-the-zoom-vanity-clause-check-point-and-zoom-collaborate-to-fix-vanity-url-issue/>

CheckPoint는 Zoom이 이 취약점을 해결하도록 도운 것으로 알려졌습니다.

“공격자가 조직의 Zoom 서브 도메인 링크 또는 실제 서브 도메인 웹사이트로 가장하는 방식에 대한 세부 정보를 모두 Zoom 측에 공개하였습니다. Zoom이 이미 이 보안 문제를 수정한 상태이기 때문에 이 보고서에서 언급된 공격 시나리오는 더 이상 실행이 불가능합니다.”

출처:

https://securityaffairs.co/wordpress/106120/hacking/zooms-vanity-url-flaw.html

https://blog.checkpoint.com/2020/07/16/fixing-the-zoom-vanity-clause-check-point-and-zoom-collaborate-to-fix-vanity-url-issue/