Un equipo de investigadores de seguridad confeccionó tres ataques que aprovechan las vulnerabilidades en WhatsApp con el fin de manipular las conversaciones en varios ámbitos.
Las fallas podrían permitir a los atacantes interceptar y manipular los mensajes de los usuarios de WhatApp enviados en conversaciones privadas y grupales. Los expertos advierten sobre los posibles abusos de estos ataques para difundir información errónea (fake news) dirigida a fuentes confiables.
La investigación fue revelada en la popular conferencia de la Black Hat 2019 en Las Vegas, Nevada, explicando que estas vulnerabilidades fueron reportadas al proveedor en 2018, y que han mantenido en el tiempo para ser explotadas.
El medio Financial Times informó que según declaraciones de Facebook, propietario de WhatsApp, explicó que las vulnerabilidades se deben a "limitaciones que no se pueden resolver debido a la estructura y arquitectura". WhatsApp cifra cada mensaje, imagen, llamada, video o cualquier otro tipo de contenido que pueda enviarse en una conversación y permite que sólo el destinatario lo descifre, gracias a la encriptación punto a punto.
Los expertos realizaron una ingeniería inversa del algoritmo utilizado por la aplicación para descifrar los datos, descubriendo que WhatsApp utiliza la tecnología de Protocol Buffers de Google, específicamente protobfuf2. Luego pudieron convertir los datos de protobuf2 a JSON para ver los parámetros reales que se envían para poder manipularlos con fines de prueba o testing.
Los expertos crearon una extensión de Burp Suite, la popular herramienta gráfica para probar la seguridad de las aplicaciones web, presentada en la conferencia de Black Hat e idearon 3 métodos de manipulación para llevar a cabo los ataques.
Los ataques tuvieron los siguientes comportamientos:
- Uso de la función 'citar' en una conversación grupal para cambiar la identidad del remitente, incluso si esa persona no es miembro del grupo.
- Alterar el mensaje de la respuesta de otra persona, es decir, comunicar información falsa o fake news.
- Envíe un mensaje privado a otro participante del grupo disfrazado como mensaje público para todos, de modo que cuando la persona objetivo responda, sea visible para todos en la conversación.
Actualmente, solo el problema asociado con la transmisión del mensaje privado al mensaje público parece haber sido resuelto por Facebook, los dos problemas restantes siguen siendo efectivos en la popular aplicación de mensajería.
REFERENCIA
COMENTARIOS