Assim como diversos outros sistemas, o WhatsApp não é perfeito quando se trata de segurança. Alguns casos em que vulnerabilidades do sistema foram usadas por hackers deixam isso claro. Agora, uma nova falha foi descoberta e pode afetar os usuários da versão Android do aplicativo que ainda não fizeram atualização.
A vulnerabilidade permite que um invasor use um arquivo de imagem no formato GIF para acessar todo o conteúdo do usuário. O bug foi identificado e compartilhado pelo “tecnólogo e entusiasta de segurança da informação” ‘Awakened’ no fórum Github com uma explicação detalhada de como ele funciona.
É um processo complexo, mas essencialmente o bug depende que o invasor envie um arquivo GIF malicioso para o dispositivo da vítima usando qualquer canal – pode ser o WhatsApp, e-mail ou algum outro meio de troca de mensagens.
Com o GIF no dispositivo, quando a vítima abre a galeria do WhatsApp para enviar qualquer imagem – não necessariamente ele – a vulnerabilidade é acionada e o dispositivo e seu conteúdo se tornam suscetíveis a invasões e roubo de informações.
“Usuários do WhatsApp”, alerta Awakened em sua postagem, “atualizem para a versão mais recente do aplicativo (2.19.244 ou superior) para se manter seguro contra essa vulnerabilidade”.
Ainda de acordo com Awakened, a vulnerabilidade está restrita aos dispositivos Android. “O erro funciona bem no Android 8.1 e 9.0, mas não funciona no Android 8.0 e versões posteriores. Nas versões mais antigas do sistema, a liberação dupla ainda podia ser acionada. No entanto, o aplicativo falha antes de chegar ao ponto em que poderíamos controlar o registro do PC”.
Do ponto de vista técnico, o ataque realiza um processo chamado de liberação dupla, em que o dispositivo pode ser afetado de diferentes formas, seja com o travamento do aplicativo ou o acesso a diferentes arquivos presentes no aparelho.
Em um comunicado ao site The Next Web, o WhatsApp declarou que não havia relatos de usuários afetados pela vulnerabilidade e que “esse problema afeta o usuário no lado do remetente, o que significa que, teoricamente, o problema pode ocorrer quando o usuário executa uma ação para enviar um GIF. A questão envolveria seu próprio dispositivo.”
Awakened, por sua vez, comentou a declaração do aplicativo e disse que a “afirmação não está correta. O porta-voz deve ter entendido errado o assunto”. O que ele quer dizer é que, embora exista alguma ação do lado da vítima, se o invasor conseguir implantar a imagem no dispositivo – por qualquer canal – a vulnerabilidade pode ser explorada.
O WhatsApp também informou que o bug “foi relatado e resolvido rapidamente no mês passado. Não temos motivos para acreditar que isso afetou qualquer usuário, embora, obviamente, estamos sempre trabalhando para fornecer os mais recentes recursos de segurança.”
Embora a vulnerabilidade pareça afetar apenas dispositivos Android, o conselho para que o aplicativo seja atualizado serve para todos. Quando uma vulnerabilidade chega ao público, há sempre a possibilidade de que ela seja explorada – os invasores estão cientes de que muitos usuários não atualizam seus aplicativos com a frequência que deveriam.
Via: Forbes