كشف باحثون أمنيون عن ثغرة خطيرة في مساعد مايكروسوفت كوبايلوت، تسمح للمهاجمين بسرقة معلومات حساسة من حسابات المستخدمين دون علمهم. تكمن المشكلة في طريقة تعامل كوبايلوت مع الأوامر المضمنة في عناوين الروابط التشعبية (URLs)، حيث يمكن للمهاجمين استغلال معلمة غير موثقة لتجاوز إجراءات الأمان وتنفيذ أوامر خبيثة.
تتيح هذه الثغرة للمهاجمين إرسال رابط مصمم خصيصًا للمستخدم، وعند النقر عليه، يقوم كوبايلوت بتنفيذ أوامر دون الحاجة لموافقة المستخدم. يمكن لهذه الأوامر أن تطلب من المساعد البحث في صندوق البريد الإلكتروني الخاص بالمستخدم، واستخلاص معلومات حساسة مثل عناوين البريد الإلكتروني لمرسلين معينين، أو حتى البحث عن كلمات المرور وبيانات الاعتماد التي قد تكون قد أُرسلت عبر البريد الإلكتروني. يتم إرسال هذه المعلومات المسروقة إلى خادم يتحكم فيه المهاجم، وغالباً ما يتم تشفيرها بصيغة Base64 لإخفاء عملية السرقة.
ووفقًا لتقرير صادر عن شركة Varonis، فإن آلية الهجوم تتم عبر الخطوات التالية: يبدأ الأمر بنقر الضحية على رابط خبيث، مما يؤدي إلى تحميل موقع كوبايلوت في جلسة المستخدم النشطة. يقوم المعلم `autorun=1` بتشغيل الأوامر تلقائيًا دون أي تفاعل من المستخدم، مما يسمح لكوبايلوت بمعالجة الأوامر المضمنة باستخدام صلاحيات الوصول الكاملة إلى سياق جلسة المستخدم والتطبيقات المتصلة.
لم تتوقف الثغرات عند هذا الحد، بل كشف باحثون عن هجوم آخر يستهدف "الذاكرة الدائمة" لكوبايلوت، وهي ميزة تحفظ تفضيلات المستخدم وتعليماته لاستخدامها في الجلسات المستقبلية. يمكن للمهاجمين تسميم هذه الذاكرة من خلال تضمين أوامر خبيثة في صفحة ويب. وعندما يطلب المستخدم من كوبايلوت تلخيص الصفحة، يقوم المساعد بتحديث الذاكرة بناءً على التعليمات المخفية، مما قد يسمح للمهاجمين بتوجيه الردود، أو تصفية المعلومات، أو حتى تنفيذ إجراءات محددة.
