Zoom曝重大安全漏洞：数万视频被公开围观

【导读】近日，远程云视频会议软件Zoom连环曝出重磅漏洞问题，深陷隐私信任危机事件，引发广泛关注。不仅美国国家航空航天局NASA叫停视频会议APP，美国联邦调查局FBI贴出告示，警惕“Zoom炸弹”，就连Zoom官方也紧急宣布：冻结新功能更新90天！面对这样的Zoom，远程视频会议办公的你，还敢用吗？

Zoom：一家总部位于美国加利福尼亚州圣何塞的科技公司，2011年由移民到美国的中国软件工程师袁征在创办。Zoom面向全球提供高清云视频会议服务。席卷全球的新冠肺炎疫情让视频会议需求暴涨，云视频会议应用Zoom的用户量也因此激增。据公开资料显示，Zoom日活量一度突破2亿，而这一数字在去年12月底还仅为1000万左右,据统计，美国500强企业中有三分之一都在使用Zoom的服务，排名前200的美国大学中有90%都是其客户。

然而，福祸相倚，在Zoom顺势爆红时，它也成为全球黑客组织发起攻击的“重磅轰炸区”。

Zoom客户端聊天模块曝“惊天漏洞”，可暴力破解目标用户Windows登录凭据

4月1日，Windows 版 Zoom 客户端曝出了一个极其严重的安全漏洞。攻击者通过该漏洞，可逆向“爆破”目标用户的Windows的登录凭据，掌握系统最高权限，并随意启动目标用户的程序，如CMD命令符等。这一漏洞的披露，对远程工作者犹如晴天霹雳，全球上下一片哗然。

震惊之余，智库也对此进行了深度追踪分析，发现威胁起源于Zoom客户端中的一个聊天模块。该模块是Zoom官方为优化远程办公体验，开设的一个用于文本交流的群聊功能。在这里，所有成员发出来的URL链接都会被系统转换，以便群内的其他成员点击。

然而，这一“转换”恰恰却成了黑客攻陷用户系统的绝佳突破口。因为Zoom客户端不仅会处理群聊中的常规URL链接，还会将员工远程访问共享文件的Windows网络UNC 路径也给转换成可被点击的链接。

UNC（Universal Naming Convention）：通用命名规范。主要指局域网上共享资源的文件目录路径。比如，要访问softer计算机中名为it168的共享文件夹，用UNC表示就是\\softer\it168。

当用户点击UNC路径时，Windows会通过发送用户登录名和NTLM密码哈希值，使用SMB网络共享文件协议连接到远程站点。在此过程中，Zoom用户的IP地址、域名、用户名和主机名随时都可能被泄露。瞬而，黑客组织便可据此使用John the Ripper之类的密码破解器，在几秒钟之内，迅速暴力破解使用普通GPU（Graphics Processing Unit：图形处理器，主要用于系统信息转换驱动）的电脑密码。

SMB（ServerMessageBlock）文件共享协议：也称服务器消息模块，是一种局域网文件共享传输协议，常被用来作为共享文件安全传输研究的平台，而NTLM则是该协议下的一种身份验证方式。

虽然，Windows会在程序被执行前发出是否允许运行的提示。但关于此次漏洞的爆破“影响值”，安全研究员提醒仍不容小觑。

因为经测试发现，这种攻击不仅能窃取 Windows 登录凭据，还能越过受害者直接启动本地计算机上的程序（比如 CMD 命令提示符）。这一结果无疑标志着被无数企业奉为圭臬的Zoom办公模式再度陷入了信任危机。

一波未平一波又起，Zoom安装包或将成为恶意代码“发源地”

然而，Zoom的麻烦远不止此。

继客户端漏洞曝出后，另外一个可被用于全面接管Zoom用户Mac电脑的漏洞也随即被披露。利用后者，攻击者可在目标计算机中任意安装恶意软件。

关于这一漏洞原理，与 “Zoom安装程序到底是如何在不需要用户点击的情况下，顺利完成安装工作”这个困扰用户许久的问题密切相关。美国威胁检测公司VMRay技术负责人解释道：“Zoom使用的是捆绑了7zip手动解压缩应用程序的预安装脚本。如果当前用户在admin组中，不需要root，即可以将其直接安装到/ Applications。”

也就是说，攻击者可以通过向Zoom安装程序注入恶意代码，来获得超级用户或“ root ”特权，并在用户不知情的情况下访问底层的MacOS并运行恶意软件或间谍软件。

更为严重的是，在全球疫情不断蔓延的当下，Zoom平台的使用率也逐步攀升，数据显示，约60%的世界500强公司使用该平台。而针对上述重大问题，在Zoom官方还未给出有力解决办法前，犯罪分子早已抢先行动。

据ABC的报道，当地时间3月31日，美国联邦调查局FBI波士顿办公室发布通告称，3月底已有不明身份的攻击者向马萨诸塞州正在上网课的学校接连多次发动攻击。

面对如此严峻形势，请保护好你的隐私：

在目前中心化架构的互联网服务下，尽管各大互联网公司尽力防备，数据泄露事件层出不穷。再加上在这个时代，数据慢慢变成了一种重要的生产要素，同时猎奇之风盛行，「贩卖隐私」的灰色产业链也就应运而生了。

在这样的环境下，保护好个人的隐私数据，已经成为了一件刻不容缓的事情。

为什么运行比特币网络的区块链从未遭到黑客攻击？

在2018年的时候，有相关媒体报道当时有1000亿美元的奖励，黑客攻破即可获得，这是截止目前为止历史上最大的一次奖励。随着每年过去，这个奖金会增加，但迄今为止，没有人能够攻击到区块链，并成功拿走奖金。

一、去中心化

就是所有在整个区块链网络里面跑的节点，都可以进行记账，都有一个记账权，这个就完全规避了操作中心化的一个弊端。它不是一个中心化，它是一个去中介化。；

二，开放性，这是针对区块链共有链来讲的，因为共有链的信息任何人都可以进去读可以进去写，只要是它整个网络体系的节点，有记账权的节点，都可以进行；

三、防篡改性

就是任何人要改变区块链里面的信息，必须要攻击网络里面的51%的节点才能把数据更改掉，这个难度非常非常大；

四、匿名性

它的匿名性基于它的算法实现了是以地址来寻址的 ，而不是以个人身份，这也是政府比较担心的。整个区块链里面有两个不可控，第一个是身份不可控匿名性，不知道是谁发起了这笔交易；第二个是它有一个跨境支付，这个牵扯到币的资金转移这一块；

五、可追溯性

他的机制就是设定后面一个区块拥有前面一个区块的一个哈希值就像一个挂钩一样，只有识别了前面的哈希值才能挂得上去，是一整条完整的链。可追溯性还有一个好的的特点就是便于数据的查询，因为这个区块是有唯一标识的，比如说之前往数据库里面去查询一个东西的话，是有很多算法去分块来找的，而这个区块链网络里面是以时间节点来定义找这个时间段的这个区块再去寻址，这就更方便。

所以黑客能不能入侵区块链呢?

答案是几乎不可能的，困难程度非常大且所需资金庞大。

破解公共区块链:这是非常困难的，它需要控制大多数节点(几乎不可能)，但，一些人口大国可能能够做到这一点这就是成本效益问题;

蒲公英智能云重磅推出TaraX,为各大家庭解决数据存储安全痛点。

TaraX是深圳蒲公英智能云斥巨资打造的一款个人自主智能云高科技设备，它引用了全球先进的高安全高性能的区块链技术，拥有 8T 的基本存储空间，采用先进的“P2P”穿透技术，无需支付高昂的专业网络存储（NAS)费用，即可享用高速稳定专业的个人私有云存储服务。无论是使用苹果还是安卓手机，只要通过蒲公英智能云的 TaraX APP即可轻松快速建立私有的存储分享空间，一家人 N 台手机共享私有云，自建社交群，自由支配私有云空间。与此同时，它还拥有比特流（BitTorrent）下载技术，用户可自定义共享带宽，在自有的分布式网络内部生产大量的下载和上传点，将外部互联网的大体积档案备份下载产生缓存，相当于有千万台机器及系统协助下载工作，完成极速下载。蒲公英智能云内置安卓系统(将来使用华为鸿蒙），用户可自主安装爱奇艺，腾讯视频，优酷等第三方应用。TaraX 搭载 4 核 ARM构架运算器，4K超高清解码器，通过HDMI 2.0协议端口实现家庭影音中心，可运行众多热门游戏。加配 Type-C接口摄像头，即可实现实时监控和视频会议。此外，TaraX 系统采用分布式碎片化存储技术，以数据享有序列加密解密服务，减灾备份等世界领先科技，是确保档案世界领先科技万无一失的“永生存储”。

添加新手交流群：币种分析、每日早晚盘分析

添加虎哥微信，一对一亲自指导：hugelunbi02

—-

编译者/作者：蒲公英智能云

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。