Уязвимость в WhatsApp поставила под угрозу миллионы пользователей

Уязвимость в WhatsApp поставила под угрозу миллионы пользователей

WhatsApp Web — это вебовая реализация популярного мессенджера WhatsApp. Плагин для браузера на десктопе отображает все те же сообщения и полностью синхронизируется с WhatsApp на телефоне. Из 900 миллионов пользователей WhatsApp порядка 200 миллионов также используют WhatsApp Web, согласно открытой статистике.

Исследователь Казиф Декел из компании Check Point обнаружил серьезную уязвимость, в которой используются возможности WhatsApp Web. Уязвимость позволяет атакующему запускать произвольный код на машинах жертв. Всё, что нужно сделать злоумышленнику для ее эксплуатации — это отправить контакты в формате vCard с добавлением вредоносного кода. Когда карточка будет открыта, код запустится и сможет заразить компьютер жертвы, передает xakep.ru.

Чтобы поразить определенную цель, злоумышленнику понадобится лишь телефонный номер, связанный с аккаунтом.

В WhatsApp уже провели проверку и подтвердили существование уязвимости. Было выпущено обновление, и чтобы защитить себя, следует обновить WhatsApp Web до последней версии.

В Check Point своей находкой поделились с WhatsApp 21 августа 2015 года. 27 августа в WhatsApp создали первый патч (он доступен начиная с версии 0.1.4481), и отключили уязвимую функцию.

WhatsApp Web позволяет пользователям отправлять любые типы медиаконтента — картинки, видео, аудио, геокоординаты и карточки с контактами. Уязвимость заключается в недостаточной фильтрации карточек с контактами в популярном формате vCard.

Карточка с вредоносным кодом ничем не отличается от обычной, и многие пользователи, не задумываясь, кликнут по ней. В результате скачается файл, который сможет запуститься на пользовательском компьютере.

В своем исследовании Декел обнаружил, что перехватывая и изменяя запросы XMPP к серверу WhatsApp, можно изменять расширения файла с карточкой.

Исследователь попробовал изменить расширение на .bat и отправить файл со скриптом для консоли Windows. Как оказалось, при клике на такой карточке содержимое исполняется на компьютере получателя.

Чтобы исполнить вредоносный код, злоумышленник также может изменить атрибут «Имя» в карточке, добавляя к нему знак & и команды. Дальнейшие исследования показали, что не нужно даже перехватывать трафик XMPP. Любой пользователь может создать вредоносную карточку в приложении WhatsApp на мобильном телефоне.

Дальше исследователь попытался передать исполняемые файлы в формате PE (.exe) через функцию отправки файлов. Поскольку WhatsApp использует стандарт XMPP, можно вставить содержимое файла прямо в код сообщения, не прибегая к ссылкам на внешние ресурсы.

  • NUMBER или GROUPID — номер жертвы или ID группы;
  • ID — идентификационный номер сообщения;
  • TIMESTAMP — время отправки;
  • FILENAME — название файла vCard — что-то.exe;
  • FILEDATA — файл в двоичном виде.

WhatsApp не проверит данные и позволит нагрузке запуститься. Если добавить нехитрый трюк с привлекательным значком и заголовком, то эффект будет ещё сильнее.

Любители Android уже получают запутанную установку APK, и она бесит всех

Google начала распространять новый расширенный сценарий установки приложений в обход Google Play. Один из пользователей Android уже получил обновлённый интерфейс и показал весь квест: подтвердить, что вас никто не принуждает, перезагрузить смартфон и подождать 24 часа.

Сначала система спрашивает, не попросил ли кто-нибудь разрешить установку сторонних APK.

Google предупреждает, что мошенники часто убеждают жертв загружать приложения из неизвестных источников, а сотрудники государственных организаций и легального бизнеса якобы никогда не требуют включать такую возможность.

После подтверждения смартфон необходимо перезагрузить. Сделать это можно сразу или позже, но суточный таймер, судя по опубликованным скриншотам, связан с прохождением этого этапа.

Оставшееся время отображается в настройках, а пользоваться устройством во время ожидания разрешается как обычно.


Когда 24 часа истекут, пользователь сможет разрешить установку сторонних приложений на семь дней или бессрочно. Новый порядок не распространяется на установку через ADB, что оставляет технически подкованным владельцам Android запасной выход.

Google объясняет задержку борьбой с мошенничеством: пауза должна дать человеку время понять, действительно ли ему нужен неизвестный APK. Однако пользователи опасаются, что это лишь промежуточный этап перед дальнейшим ужесточением правил.

В опросе Android Authority 88% участников предположили, что Google продолжит закручивать гайки. Пока Android всё ещё позволяет ставить приложения не из фирменного магазина.

RSS: Новости на портале Anti-Malware.ru