WhatsApp es ya sinónimo de mensajería entre teléfonos móviles, pero desde hace ya algún tiempo disponemos de una versión para navegadores que permite acceder al servicio también desde ordenadores personales. Y dada la importancia del servicio, hay mil ojos puestos sobre él constantemente, de ahí que afloren más fallos de seguridad (y correcciones) que en los demás.
El último ha sido ya detectado, comunicado y corregido, según la propia Facebook, dueña de la aplicación y el servicio. El error consistía en un fallo de seguridad que permitía a los atacantes acceder a los archivos locales del ordenador a distancia. Un error que exponía tanto a ordenadores con Windows como a Macs.
Tirando del hilo hasta convertir un error en un potencial peligro
El error fue detectado el pasado año por Gal Weizman, de Perimeterx, y notificado antes de que acabase la temporada. Ahora la empresa confirma que Facebook ya ha corregido el error, al tiempo que dedica un artículo a explicar qué ocurría con el mismo y cómo se exponían los archivos locales del ordenador en el caso de que un atacante explotase el fallo de seguridad.
Desde Perimeterx se explica que la primera detección se realizó en 2017. Entonces, Gal Weizman se dio cuenta de que podía localizar los metadatos de un mensaje a través del código fuente de la versión web de WhatsApp que, a efectos prácticos, no deja de ser una 'web app' sincronizada con el teléfono móvil a través de los servidores de la compañía.
Un mensaje modificado aprovechando el error de WhatsApp Web
Localizados estos metadatos, podrían modificarse y volver a insertarse en el flujo normal de funcionamiento de WhatsApp, por lo que se eludían algunos mecanismos de seguridad del servicio al identificarse el mensaje como propietario del usuario que en ese momento lo enviaba. La investigación de Weizman fue más allá y se dedicó a investigar qué más partes del mensaje podía modificar, y si el error de seguridad se extendía más en la aplicación.
Así, Weizman llegó a poder modificar la vista previa de las páginas web generadas a partir de los enlaces enviados por WhatsApp. Así, la vista previa mostraba un mensaje legítimo pero el enlace conducía a cualquier web existente, a elección del atacante. La investigación continuó y Weizman fue saltándose poco a poco las protecciones de los propios navegadores, hasta lograr enviar un mensaje potencialmente peligroso para el o los receptores del mismo.
Vista previa modificada para permitir insertar cualquier enlace en una previsualización aparentemente segura
Mediante un complejo desarrollo de código, y aprovechando el error de WhatsApp Web a la hora de verificar la autenticidad de estos mensajes, Weizman llegó a acceder a la lectura del sistema de archivos de ordenadores, tanto Mac como Windows. El error, como dijimos al principio, ya ha sido corregido por Facebook y actualmente WhatsApp no es vulnerable al mismo.
Vía | Perimeterx
Ver 2 comentarios