Ένα ζήτημα ασφαλείας στην πιο πρόσφατη έκδοση του WhatsApp για Windows, επιτρέπει την αποστολή συνημμένων Python και PHP που εκτελούνται χωρίς καμία προειδοποίηση όταν τα ανοίγει ο παραλήπτης.
Δείτε επίσης: Το WhatsApp εισάγει ένα νέο εργαλείο επιλογής άλμπουμ
Για να είναι επιτυχής η επίθεση, πρέπει να εγκατασταθεί η Python, μια προϋπόθεση που μπορεί να περιορίσει τους στόχους σε προγραμματιστές λογισμικού, ερευνητές και έμπειρους χρήστες.
Το πρόβλημα είναι παρόμοιο με αυτό που επηρέασε το Telegram για Windows τον Απρίλιο, όπου οι εισβολείς μπορούσαν να παρακάμψουν τις προειδοποιήσεις ασφαλείας και να πραγματοποιήσουν απομακρυσμένη εκτέλεση κώδικα κατά την αποστολή ενός αρχείου Python .pyzw μέσω του προγράμματος-client μηνυμάτων.
Το WhatsApp αποκλείει πολλούς τύπους αρχείων που θεωρούνται ότι ενέχουν κινδύνους για τους χρήστες, αλλά η εταιρεία λέει ότι δεν σκοπεύει να προσθέσει σενάρια Python στη λίστα. Περαιτέρω δοκιμές δείχνουν ότι τα αρχεία PHP (.php) δεν περιλαμβάνονται επίσης στη λίστα αποκλεισμού του WhatsApp.
Τα σενάρια Python και PHP δεν έχουν αποκλειστεί
Ο ερευνητής ασφαλείας Saumyajeet Das βρήκε την ευπάθεια ενώ πειραματιζόταν με τύπους αρχείων που θα μπορούσαν να επισυναφθούν στις συνομιλίες WhatsApp, για να δει εάν η εφαρμογή επιτρέπει κάποια από τα επικίνδυνα.
Όταν στέλνετε ένα δυνητικά επικίνδυνο αρχείο, όπως το .EXE, το WhatsApp το εμφανίζει και δίνει στον παραλήπτη δύο επιλογές: Άνοιγμα ή Αποθήκευση ως.
Δείτε ακόμα: WhatsApp: Δοκιμάζει νέα λειτουργία μεταφοράς αρχείων, παρόμοια με το AirDrop της Apple
Ωστόσο, όταν προσπαθείτε να ανοίξετε το αρχείο, το WhatsApp για Windows δημιουργεί ένα σφάλμα, αφήνοντας στους χρήστες μόνο την επιλογή να αποθηκεύσουν το αρχείο στο δίσκο και να το εκκινήσουν από εκεί. Ο Das διαπίστωσε ότι το WhatsApp αποκλείει επίσης την εκτέλεση των .DLL, .HTA και VBS.
Ο Das δήλωσε ότι βρήκε τρεις τύπους αρχείων που δεν αποκλείει η εκκίνηση του προγράμματος-πελάτη WhatsApp: .PYZ (εφαρμογή Python ZIP), .PYZW (πρόγραμμα PyInstaller) και .EVTX (αρχείο καταγραφής συμβάντων των Windows).
Οι δοκιμές του BleepingComputer επιβεβαίωσαν ότι το WhatsApp δεν μπλοκάρει την εκτέλεση αρχείων Python και ανακάλυψαν ότι το ίδιο συμβαίνει με τα σενάρια PHP.
Εάν υπάρχουν όλοι οι πόροι, το μόνο που χρειάζεται να κάνει ο παραλήπτης είναι να κάνει κλικ στο κουμπί “Άνοιγμα” στο ληφθέν αρχείο και το σενάριο εκτελείται αμέσως.
Ο Das ανέφερε το πρόβλημα στη Meta στις 3 Ιουνίου και η εταιρεία απάντησε στις 15 Ιουλίου λέγοντας ότι το ζήτημα είχε ήδη αναφερθεί από άλλον ερευνητή.
Ένας εκπρόσωπος του WhatsApp, εξήγησε ότι δεν βλέπουν ως πρόβλημα από την πλευρά τους την εκτέλεση αρχείων Python, επομένως δεν υπάρχουν σχέδια για επιδιόρθωση:
“Διαβάσαμε τι έχει προτείνει ο ερευνητής και εκτιμούμε την υποβολή τους. Το κακόβουλο λογισμικό μπορεί να λάβει πολλές διαφορετικές μορφές, μεταξύ άλλων μέσω αρχείων με δυνατότητα λήψης που προορίζονται να εξαπατήσουν έναν χρήστη.“
“Για αυτό προειδοποιούμε τους χρήστες να μην κάνουν ποτέ κλικ ή να ανοίξουν ένα αρχείο από κάποιον που δεν γνωρίζουν, ανεξάρτητα από το πώς το έλαβαν — είτε μέσω WhatsApp είτε από οποιαδήποτε άλλη εφαρμογή.“
Ο εκπρόσωπος της εταιρείας εξήγησε επίσης ότι το WhatsApp διαθέτει ένα σύστημα που προειδοποιεί τους χρήστες όταν τους στέλνουν μηνύματα χρήστες που δεν βρίσκονται στις λίστες επαφών τους ή όταν έχουν αριθμούς τηλεφώνου καταχωρισμένους σε διαφορετική χώρα.
Δείτε επίσης: Βιετναμέζοι hacker πίσω από την απάτη του WhatsApp e-challan στην Ινδία
Το WhatsApp είναι μια ευρέως χρησιμοποιούμενη εφαρμογή ανταλλαγής μηνυμάτων που επιτρέπει στους χρήστες να στέλνουν μηνύματα κειμένου, φωνητικές σημειώσεις, να πραγματοποιούν φωνητικές κλήσεις και βιντεοκλήσεις και να μοιράζονται εικόνες, έγγραφα και άλλα μέσα. Η κρυπτογράφηση από άκρο σε άκρο διασφαλίζει ότι τα μηνύματα είναι ασφαλή και μπορούν να διαβαστούν μόνο από τον αποστολέα και τον παραλήπτη, καθιστώντας το μια δημοφιλή επιλογή τόσο για προσωπική όσο και για επαγγελματική επικοινωνία. Με λειτουργίες όπως ομαδικές συνομιλίες και ενημερώσεις κατάστασης, το WhatsApp διευκολύνει τις συνδέσεις μεταξύ φίλων, οικογένειας και συναδέλφων, υπερβαίνοντας τα γεωγραφικά όρια και ενισχύοντας τις κοινωνικές αλληλεπιδράσεις στην ψηφιακή εποχή.
Πηγή: bleepingcomputer
