说到 GIF 动图，大家可能第一反应是手机微信里那各式各样的表情包了，用表情包斗图是现在人们的一种沟通方式。然而，GIF 动图到了黑客手里，就不仅是一种“沟通方式”了。
昨日，微软宣布修复了旗下 Teams 工作视频聊天工具和协作平台的一个漏洞，该漏洞允许攻击者向用户团队发送一个 GIF 动图，看似“楚楚可怜”，实则暗藏恶意链接。
CyberArk 发现了该漏洞，影响范围波及客户端和网页版的 app 用户。该团队发现该漏洞后在 3 月 23 日报送给微软，微软在 4 月 20 日发布的更新中修复了该漏洞。
从 CyberArk 安全人员 Omer Tsarfati 可以得知，一旦黑客给目标对象发送 GIF 恶意图像，那么他们就可以接管用户账号，获取机密信息、会议行程、竞争数据、密码、隐私、商业计划等等。
Microsoft Teams 是类似 Zoom 的一款视频会议软件，在 COVID19 期间也是见证了用户视频使用需求的崛起，世界范围的企业、学生、政府雇员都必须使用视频会议软件来进行工作和社交。
子域名接管漏洞
该漏洞是在 Microsoft Teams 处理图像资源身份验证方式时出现的。每次打开应用程序时，都会在此过程中创建访问令牌，JSON Web 令牌（JWT），从而使用户可以查看个人或其他人在对话中共享的图像。该令牌也成为“skype 令牌”，即“ skypetoken_asm”的 cookie，这不仅仅限于访问图像，还有其他用途。
Teams 使用多个 API 端点与服务进行通信，并将用户操作发送到相关 API 端点，此时则需要进行身份验证来匹配操作和用户身份。常用方式是发送访问令牌，而 Teams 在图像方面出现问题。比如用户身份验证不是基于 Cookie，加载图像则比身份验证更为复杂。
为了解决此问题，有一种方法可以使用 JavaScript 代码作为 Blob 提取图像内容，然后将 IMG 标签的 src 属性设置为创建的 Blob。在某些情况下，Teams 使用浏览器的常规资源加载，这意味着 Teams 只是将 URI 的“ src”属性设置为 HTML IMG 标签
<img ng-show =“！giphyCtrl.playVideo” ng-src =“ https://media2.giphy.com/media/gB4KWtd3uSsJq/giphy.GIF” height =“ 240” width =“ 480” load-image-handler src =“ https://media2.giphy.com/media/gB4KWtd3uSsJq/giphy.GIF”>
为了限制访问权限，微软又建立了一个名为“ authtoken”和“ skypetoken_asm”的 cookie。
这就是问题所在，研究人员能够获得一个 authtoken cookie，该 cookie 授予对资源服务器（api.spaces.skype.com）的访问权限，并使用它来创建上述的“ skype 令牌”，因此他们具有很大的不受限制的权限，可以发送消息、阅读消息、创建群组、添加新用户或从群组中删除用户，甚至通过 Teams API 更改群组中的权限。
由于 authtoken cookie 设置为发送到 team.microsoft.team 或其任何子域，因此研究人员发现了两个容易受到攻击的子域（aadsync-test.teams.microsoft.com 和 data-dev.teams.microsoft.com），这两个子域容易发生接管攻击。
研究人员说：“如果攻击者以某种方式迫使用户访问已被接管的子域，则受害者的浏览器会将此 Cookie 发送到攻击者的服务器，并且攻击者（在收到 authtoken 之后）可以创建一个 Skype 令牌。完成所有这些操作后，攻击者可以窃取受害者团队的帐户数据。”
GIF 恶意图像载入
Teams 设置“ authtoken” cookie 的原因是对用户进行身份验证，方便在 Teams 和 Skype 的域中加载图像。现在，攻击者感染子域，可以利用这个漏洞发送恶意 GIF 图片给群聊成员或者特定用户，当用户查看时，浏览器会尝试加载图像，并将 authtoken cookie 发送到受感染的子域。
然后，攻击者可以使用此 authtoken cookie 创建一个 Skype 令牌，从而访问所有受害者的数据。只要交互涉及聊天界面，例如邀请电话会议进行潜在的工作面试，任何人都可以发起攻击。
受害者永远不会知道自己受到了攻击，这使得利用此漏洞变得隐秘而危险。
利用该漏洞最可怕之处在于其会自动传播，类似蠕虫病毒。
视频会议软件攻击呈上升趋势
在 COVID19 这个特殊时期，基于环境的变化，全球用户对视频会议软件需求激增，不管上文所述的 Teams GIF 入侵也好，还是前段时间引发热议的“Zoom 轰炸”也好，视频会议软件也开始是黑客发动攻击青睐的对象。
因此，企业也要更加防范这个领域可能遭受的风险，比如网络监听、服务器或流量攻击、身份冒充、会议内容数据窃取或篡改等。
参考链接：
GIF 图像如何使攻击者入侵 Microsoft Teams 帐户
小心 GIF：Microsoft Teams 中的帐户接管漏洞
*本文作者：Sandra1432，转载请注明来自 FreeBuf.COM