A Check Point Research recentemente ajudou a mitigar uma nova vulnerabilidade no WhatsApp que poderia permitir que um atacante enviasse uma mensagem maliciosa de bate-papo em grupo, a qual travaria o aplicativo para todos os membros do grupo. Para recuperar o uso do WhatsApp, os usuários precisariam desinstalá-lo e reinstalá-lo e excluir o grupo que contém a mensagem.
Para criar a mensagem maliciosa que afetaria um grupo do WhatsApp, o atacante precisaria ser um membro do grupo de destino (o WhatsApp permite até 256 usuários por grupo). A partir daí, ele necessitaria usar o WhatsApp Web e a ferramenta de depuração do navegador da web para editar parâmetros específicos da mensagem e enviar o texto editado ao grupo. Essa mensagem editada causaria um loop de falha para os membros do grupo, negando aos usuários acesso a todas as funções do WhatsApp até reinstalá-lo e excluir o grupo com a mensagem maliciosa.
Oded Vanunu, chefe de pesquisa de vulnerabilidade de produtos da Check Point, explica sobre essa vulnerabilidade. “Como o WhatsApp é um dos principais canais de comunicação do mundo para consumidores, empresas e agências governamentais, a capacidade de impedir que as pessoas usem o WhatsApp e excluir informações valiosas de bate-papos em grupo são uma arma poderosa para os ciberatacantes. Todos os usuários do WhatsApp devem atualizar para a versão mais recente do aplicativo para se proteger contra esse possível ataque.”
A divisão CPR da Check Point divulgou com responsabilidade suas descobertas ao programa de recompensas por bugs do WhatsApp em 28 de agosto de 2019. O WhatsApp reconheceu as descobertas e desenvolveu uma correção para resolver o problema, disponível desde a versão 2.19.58 do aplicativo. Os usuários devem aplicar manualmente em seus dispositivos. “O WhatsApp respondeu de forma rápida e responsável para implementar a mitigação contra a exploração dessa vulnerabilidade”, diz Oded Vanunu.
“O WhatsApp valoriza muito o trabalho da comunidade de tecnologia para nos ajudar a manter uma segurança robusta para nossos usuários em todo o mundo”, destaca o engenheiro de software do WhatsApp, Ehren Kret. “Graças ao envio responsável da Check Point ao nosso programa de recompensas por bugs, resolvemos rapidamente esse problema para todos os aplicativos do WhatsApp em meados de setembro. Recentemente, também adicionamos novos controles para impedir que pessoas sejam adicionadas a grupos indesejados para evitar a comunicação com partes não confiáveis todos juntos.”
A equipe da divisão Check Point Research encontrou a vulnerabilidade inspecionando as comunicações entre o WhatsApp e o WhatsApp Web, a versão web do aplicativo que reflete todas as mensagens enviadas e recebidas do telefone do usuário. Isso permitiu que os pesquisadores vissem os parâmetros usados nas comunicações do WhatsApp e os manipulassem. Esta nova pesquisa baseia-se nas falhas ‘FakesApp’ descobertas pela Check Point Research, que permitiam a edição de mensagens de bate-papo em grupo para espalhar notícias falsas.
O WhatsApp tem 1,5 bilhão de usuários e mais de 1 bilhão de grupos, tornando-o o aplicativo de mensagens instantâneas mais popular do mundo. Mais de 65 bilhões de mensagens são enviadas via WhatsApp por dia.
