Check Point ujawnia luki w WhatsApp i Telegram, które pozwalały przejąć ponad milard kont

15 marca, 2017

Nie minęło 48 godzin od wywleczenia na światło dzienne sensacyjnych informacji o wykrytym preinstalowanym malware w 36 smartfonach topowych producentów, a specjaliści ds. bezpieczeństwa komputerowego z firmy Check Point ponownie ujawniają podatności w popularnych komunikatorach – WhatsApp oraz Telegram. Wykryte dziury w zabezpieczeniach pozwalały hakerom uzyskać pełną kontrolę nad kontami, włączając w to śledzenie rozmów, dostęp do zdjęć, plików audio i wideo oraz kontaktów. Łącznie zagrożonych było ponad miliard użytkowników!

WhatsApp i Telegram to jedne z najbardziej popularnych komunikatorów internetowych posiadających odpowiednio 1 mld i 100 mln użytkowników na całym świecie. Jak informuje Check Point, zidentyfikowane na początku marca zagrożenie dotyczyło luki w platformie webowej komunikatorów (dostępne są już dowody na skuteczne przeprowadzenie ataku [ WhatsApp ] [ Telegram ]. Wykorzystując lukę, atakujący mógł całkowicie przejąć konta użytkowników oraz uzyskać dostęp do prywatnych rozmów, zdjęć, filmów i innych plików współdzielonych w aplikacji. Oded Vanunu, szef działu badań nad podatnościami w Check Poincie twierdzi, że wykryta luka pozwalała osobie atakującej na wysłanie złośliwego kodu ukrytego w pliku graficznym (możliwe było dostarczenie pliku o innej nazwie, o zmienionym lub ukrytym rozszerzeniu, a także o zmianionym podglądzie pliku, w taki sposób, by był bardziej „atrakcyjny wizualnie” dla ofiary). W momencie, gdy ofiara otworzyła obrazek, napastnik uzyskiwał pełny dostęp do jej konta. Następnie przez wysłanie złośliwego pliku do wszystkich kontaktów, przestępca mógł powtórzyć incydent na zdecydowanie większą skalę (efekt łańcuszka).

Zarówno WhatsApp i Telegram wykorzystują szyfrowanie wiadomości end-to-end, jako środek zabezpieczania danych. Jednak samo szyfrowanie było w pewnym sensie źródłem zagrożenia. Jako że wiadomości były szyfrowane po stronie nadawcy (czyt. urządzenia użytkownika), WhatsApp i Telegram nie były w stanie przeskanować treści, a co za tym idzie, nie potrafiły zidentyfikować szkodliwej zawartości przed wysłaniem. W obecnych wersjach komunikatorów, treść jest weryfikowana przed zaszyfrowaniem, dzięki czemu szkodliwe pliki powinny być blokowane.

Firma Check Point poinformowała o odkryciu podatności zespoły WhatsAppa i Telegram w dniu 8 marca 2017 r. Obie firmy natychmiastowo opracowały poprawki, łatające wspomniane luki.

funny cat
Wystarczyło otworzyć specjalnie przygotowany obrazek, aby przejąć czyjeś konto.
Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.
Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.

PODZIEL SIĘ:

Czy ten artykuł był pomocny?

Średnia ocena: 0 / 5. Liczba głosów: 0

guest
0 komentarzy
Inline Feedbacks
View all comments

Wyrażam zgodę na przesłanie oferty drogą telefoniczną przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Wyrażam zgodę na przesłanie oferty drogą mailową przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

[ninja_tables id=”27481″]