Уязвимость в WhatsApp поставила под угрозу миллионы пользователей

Уязвимость в WhatsApp поставила под угрозу миллионы пользователей

WhatsApp Web — это вебовая реализация популярного мессенджера WhatsApp. Плагин для браузера на десктопе отображает все те же сообщения и полностью синхронизируется с WhatsApp на телефоне. Из 900 миллионов пользователей WhatsApp порядка 200 миллионов также используют WhatsApp Web, согласно открытой статистике.

Исследователь Казиф Декел из компании Check Point обнаружил серьезную уязвимость, в которой используются возможности WhatsApp Web. Уязвимость позволяет атакующему запускать произвольный код на машинах жертв. Всё, что нужно сделать злоумышленнику для ее эксплуатации — это отправить контакты в формате vCard с добавлением вредоносного кода. Когда карточка будет открыта, код запустится и сможет заразить компьютер жертвы, передает xakep.ru.

Чтобы поразить определенную цель, злоумышленнику понадобится лишь телефонный номер, связанный с аккаунтом.

В WhatsApp уже провели проверку и подтвердили существование уязвимости. Было выпущено обновление, и чтобы защитить себя, следует обновить WhatsApp Web до последней версии.

В Check Point своей находкой поделились с WhatsApp 21 августа 2015 года. 27 августа в WhatsApp создали первый патч (он доступен начиная с версии 0.1.4481), и отключили уязвимую функцию.

WhatsApp Web позволяет пользователям отправлять любые типы медиаконтента — картинки, видео, аудио, геокоординаты и карточки с контактами. Уязвимость заключается в недостаточной фильтрации карточек с контактами в популярном формате vCard.

Карточка с вредоносным кодом ничем не отличается от обычной, и многие пользователи, не задумываясь, кликнут по ней. В результате скачается файл, который сможет запуститься на пользовательском компьютере.

В своем исследовании Декел обнаружил, что перехватывая и изменяя запросы XMPP к серверу WhatsApp, можно изменять расширения файла с карточкой.

Исследователь попробовал изменить расширение на .bat и отправить файл со скриптом для консоли Windows. Как оказалось, при клике на такой карточке содержимое исполняется на компьютере получателя.

Чтобы исполнить вредоносный код, злоумышленник также может изменить атрибут «Имя» в карточке, добавляя к нему знак & и команды. Дальнейшие исследования показали, что не нужно даже перехватывать трафик XMPP. Любой пользователь может создать вредоносную карточку в приложении WhatsApp на мобильном телефоне.

Дальше исследователь попытался передать исполняемые файлы в формате PE (.exe) через функцию отправки файлов. Поскольку WhatsApp использует стандарт XMPP, можно вставить содержимое файла прямо в код сообщения, не прибегая к ссылкам на внешние ресурсы.

  • NUMBER или GROUPID — номер жертвы или ID группы;
  • ID — идентификационный номер сообщения;
  • TIMESTAMP — время отправки;
  • FILENAME — название файла vCard — что-то.exe;
  • FILEDATA — файл в двоичном виде.

WhatsApp не проверит данные и позволит нагрузке запуститься. Если добавить нехитрый трюк с привлекательным значком и заголовком, то эффект будет ещё сильнее.

К 2030 году у каждого россиянина появится цифровой медицинский профиль

К 2030 году у каждого россиянина должен появиться цифровой медицинский профиль. Об этом заявил глава Минздрава Михаил Мурашко на расширенном заседании коллегии ведомства, где обсуждали итоги работы за 2025 год и планы на 2026-й.

По словам министра, к этому же сроку в стране должны завершить создание единой цифровой платформы для управления здоровьем.

Идея в том, чтобы собрать в одной системе всё, что связано с пациентом: данные о состоянии здоровья, сведения о маршруте лечения, информацию о ресурсах медорганизаций и даже о компетенциях врачей.

Фактически Минздрав продолжает линию на постепенный отказ от бумажного формата. Цифровизация в медицине идёт не первый год, но теперь акцент явно смещается с отдельных сервисов на единую платформу, которая должна связать данные, учреждения и врачей в общий контур.

Параллельно министерство собирается ещё активнее расширять применение искусственного интеллекта. Причём ИИ хотят использовать не только в диагностике и лечении, но и в более рутинных задачах: для составления расписаний, голосового ввода протоколов и запуска чат-ботов для пациентов.

Если всё это действительно дойдёт до полноценной реализации, для пациентов это должно означать более связанную и удобную систему: меньше бумажной волокиты, быстрее доступ к данным и более цельную картину лечения.

Но, как обычно бывает с такими большими цифровыми проектами, главный вопрос будет не только в сроках, но и в том, насколько аккуратно получится собрать всё это в одну работающую систему.

RSS: Новости на портале Anti-Malware.ru