Bug no Slack deixa hackers infectarem PCs com malware

A ferramenta corporativa Slack possui uma vulnerabilidade para a versão desktop Windows que pode ser explorada de maneira remota: a brecha permite que cibercriminosos alterem o local em que arquivos são baixados. Isso até pode parecer não tão grave, mas é possível redirecionar os arquivos para um servidor SMB (Server Message Block) separado e manipular o conteúdo dos documentos baixados — e isso é muito grave.

"Se você usa o Slack, cheque por atualizações: não deixe seu PC desprotegido"

Com a capacidade de alterar o conteúdo de documentos, cibercriminosos podem incluir malwares e roubar informações presentes tanto nos arquivos quanto no PC infectado. Quem descobriu a falha foi o pesquisador David Wells, da Tenable Research. Welles reportou o bug na plataforma HackerOne alertando que a brecha se encontrava na versão 3.3.7 do Slack para Windows.

Wells explica no relatório que a brecha permitiria que um invasor postasse um hiperlinkespecialmente criado em um canal do Slack que alterasse o caminho do local de download do documento quando clicado. As vítimas ainda poderiam abrir o documento baixado por meio do aplicativo, no entanto, isso seria feito a partir do compartilhamento SMB (Server Message Block) do invasor.

“O problema existe no gerenciador do protocolo "slack: //", que tem a capacidade de alterar configurações sensíveis no Slack Desktop Application. Esse caminho de download pode ser um compartilhamento SMB de propriedade do invasor, o que faria com que todos os documentos futuros baixados no Slack fossem enviados instantaneamente para o servidor do invasor. Depois de configurar um compartilhamento SMB remoto, poderíamos enviar aos usuários ou canais um link que redirecionaria todos os downloads para ele após clicarem no link".

O Slack possui mais de 10 milhões de usuários ativos e mais de 85 mil empresas usando sua versão paga. Por isso, é importante atualizar o aplicativo e garantir que ele esteja a última atualização instalada (v3.4.0), na qual o bug já foi corrigido.

• Para todos os detalhes da brecha, acesse aqui

Fonte: THREATPOST

Slack remove 28 contas relacionadas a grupos de ódio na internet

O Slack removeu, nesta quinta-feira (14), 28 contas “por causa de sua clara afiliação com grupos de ódio conhecidos”, divulgou a empresa em um comunicado em seu site oficial. Não foi informado, entretanto, que grupos eram esses ou quais atividades eram realizadas na plataforma.

Utilizado como plataforma de produtividade e comunicação – tanto por grupos de pessoas quanto por empresas – o Slack oferece recursos como salas de chat organizadas por tópico, grupos privados e mensagens diretas. A empresa oferece um plano gratuito, no qual as 10 mil mensagens mais recentes podem ser visualizadas e pesquisadas, incluindo arquivos, conversas e pessoas.

“O uso do Slack por grupos de ódio vai contra tudo o que acreditamos e não é bem-vindo em nossa plataforma”, afirma o comunicado da empresa. “Usar o Slack para encorajar ou incitar o ódio e a violência contra grupos ou indivíduos por causa de quem eles são é antitético aos nossos valores e propósitos”, completa a mensagem.

Empresas que oferecem serviços semelhantes ao Slack, como o Discord, já vêm trabalhando para tomar medidas contra o discurso de ódio. Outras empresas que provém serviços online, como Facebook, Google, GoDaddy, GoFundMe, Reddit, Uber e YouTube têm feito o mesmo – enquanto o Slack era uma ausência notada.

“Quando tomamos conhecimento de uma organização que usa o Slack para fins ilegais, prejudiciais ou outros fins proibidos, investigamos e tomamos as medidas apropriadas e estamos atualizando nossos termos de serviço para tornar isso mais explícito”, afirma o comunicado da empresa.

Fonte: Slack e The Verge