WhatsApp

Уязвимость в WhatsApp и Telegram

Присланное изображение содержит вредоносный код, для его активации жертве достаточно кликнуть на изображение. Картинку хакер может создать любую, в том числе такую, у которой высоки шансы на привлечение внимания пользователя. После клика на изображении хакер получает полный доступ к локальному хранилищу. В его руки попадает вся переписка пользователя, список его контактов, а также фото, видео и другие файлы, которыми он обменивался через мессенджер. Завладев списком контактов, злоумышленник может разослать вредоносный файл всем собеседникам жертвы от ее имени.

Реакция WhatsApp и Telegram

Чтобы устранить уязвимость, WhatsApp и Telegram пришлось доработать механизм проверки контента. Оба мессенджера пользуются сквозным шифрованием, которое не позволяет кому-либо, кроме участников беседы, получать доступ к сообщениям и файлам. Однако вредоносное изображение шифруется непосредственно отправителем, что не дает мессенджеру возможности проверить контент. То есть, уязвимость является следствием сквозного шифрования. Внесенные изменения заключаются в том, что теперь контент проверяется до шифровки.

Механизм загрузки файлов WhatsApp поддерживает несколько определенных типов документов, таких как Office, PDF, аудиофайлы, видео и изображения. Но исследователям Check Point удалось обойти ограничения этого механизма, загрузив вредоносный HTML-документ с легитимным предварительным просмотром изображения, чтобы обмануть пользователя.

Веб-клиент WhatsApp хранит допустимые типы документов в клиентской переменной W["default«].DOC_MIMES. Поскольку зашифрованная версия документа отправляется на серверы WhatsApp, для этой переменной можно добавить новый тип MIME, такой как «текст/html», чтобы обойти ограничение клиента и загрузить вредоносный HTML-документ. После добавления нового типа к клиентской переменной, клиент шифрует содержимое файла с помощью функции encryptE2Media и затем загружает его в зашифрованном виде как BLOB на сервер WhatsApp.

При просмотре страницы данные локального хранилища жертвы будут отправлены хакеру, что позволит ему захватить аккаунт. Преступник создает функцию JavaScript, которая будет каждые 2 секунды проверять, появились ли в бэкэнде новые данные, и обновлять украденное им локальное хранилище.

Как это работает в Telegram

Клиент Telegram сохраняет тип MIME в объекте t и во время процесса загрузки проверяет, соответствует ли он типу видео или изображения MIME. В случае совпадения файл будет храниться под URI-идентификатором файловой системы. Поскольку зашифрованная версия файла отправляется на серверы Telegram, можно изменить тип MIME на «video/mp4», чтобы обойти ограничение клиента и загрузить вредоносный HTML-документ в Telegram в виде видео.

Поскольку Telegram позволяет пользователю вести одновременно несколько сеансов с разных устройств, жертва не узнает о взломе.

У Вас возникли трудности с приложением WhatsApp не приходит смс с кодом подтверждения на Ваше мобильное устройство? Предлагаем Вашему вниманию пошаговое руководство:

whatsapp-no-code-sms
SMS-ne-prihodit-v-whatsapp

Определенные приложение, которые имеются на Вашем мобильном устройстве, могут блокировать звонки и уведомления. Если у Вас возникла такая ситуация, нужно проделать следующие действия:

Эмуляторы или персональные компьютеры на базе Android не поддерживаются. Поэтому, при попытке подтвердить свой мобильный номер на одном из таких устройств, к сожалению, мы не сможем помочь Вам.

Источники