Un grupo de investigadores ha comunicado que las versiones web de WhatsApp y Telegram podrían haber sido atacadas por la forma en la que los servicios procesan las imágenes y archivos multimedia. Durante 2 años una sola foto pudo haber hackeado millones de cuentas.
Los investigadores de Check Point explican que pudieron crear una imagen maliciosa que parecía normal a primera vista, aunque realmente dirigía a los usuarios a una página HTML cargada de malware. Una vez cargada, la página recupera todos los datos almacenados localmente, permitiendo a los atacantes hacerse con la cuenta del usuario.
El problema, una vez que se ha solucionado en ambas plataformas, es que esto ocurre desde hace dos años. Según explica Oded Vanunu, jefe de investigación de vulnerabilidades en Check Point:
Simplemente enviando una foto de aspecto inocente un posible atacante podría ganar el control sobre la cuenta, el historial de acceso a mensajes, todas las fotos que se compartían y enviar mensajes en nombre del usuario.
A diferencia de los servicios de correo electrónico o chats convencionales, ambas plataformas de mensajería no tienen forma de leer mensajes enviados entre usuarios. Esto ocurre gracias a la tan mencionada promesa de cifrado de extremo a extremo.
El caso de WhatsApp fue más severo, ya que no requería de ninguna acción del usuario objetivo excepto la de abrir un archivo adjunto recibido.
Curioso, porque dicha promesa pudo haber facilitado el acceso de esta imagen que nos lleva al malware. Sin un mecanismo para interceptar mensajes en tránsito es mucho más sencillo el posible envío de virus u otros ataques usando el servicio.
Para ello, el ataque requiere que un usuario abra deliberadamente el archivo enviado, por lo que no parece que sea útil para botnets o vigilancia masiva. Una vulnerabilidad que fue reportada tanto a WhatsApp como a Telegram el pasado 7 de marzo y que ambas plataformas han solucionado.
RESPUESTA DE LAS PLATAFORMAS
WhatsApp dice que corrigió la vulnerabilidad al día siguiente forzando la validación del contenido antes del cifrado. De esta forma pudo bloquear los archivos maliciosos. Según ha comunicado un portavoz:
Cuando Check Point informó sobre el problema lo abordamos en un día y publicamos una actualización de WhatsApp para la web. Para asegurarse de que está utilizando la última versión, simplemente reinicie su navegador.
Telegram por su parte afirmó que sus problemas eran mucho menos severos que los de WhatsApp. Según Markus Ra, jefe de soporte y relaciones públicas de Telegram, era necesario un segundo paso para hacer efectivo el exploit.
El usuario debía hacer clic en el botón derecho sobre el contenido de la imagen y optar por abrirlo en una nueva ventana o pestaña para que el código malicioso se ejecute. Check Point ha confirmado esta versión. Según ha comunicado Telegram:
El caso de WhatsApp fue más severo, ya que no requería de ninguna acción del usuario objetivo excepto la de abrir un archivo adjunto recibido. Así que un atacante podría hacerse cargo de una cuenta si el usuario simplemente abrió una foto de un gato y no hacía nada más.
La buena noticia para los usuarios en ambos casos es que es que no tienen que actualizar ninguna aplicación para protegerse del ataque. Los problemas fueron solucionados en los servidores de ambas plataformas. Además, el fallo sólo afectaba a los que utilizaban las plataformas a través del navegador web (no en las aplicaciones móviles o de escritorio).
El problema en este caso es que no está claro el número de personas que fueron afectadas. WhatsApp por ejemplo se ha negado a decir qué proporción de sus 1.300 millones de usuarios ejecutaron su versión web desde el navegador durante los dos años que lleva abierta.
