Skip to main content

Así funciona una falla crítica de WhatsApp que puede tomar tus archivos

¿Cómo funciona una falla crítica de WhatsApp que puede robarte tus datos?

WhatsApp ha estado en la mira de los expertos en los últimos meses, no solo por la grave vulneración mediática que sufrió Jeff Bezos, sino que también por reportes que indican varias vulnerabilidades durante 2019.

Es justamente una de esas fallas del año pasado, descubiertas en el mes de agosto, la que permitía que el servicio de mensajería accediera a tus archivos de Windows o Mac si estabas usando la versión web.

Tras el descubrimiento de la vulnerabilidad por parte de la gente de Checkpoint, el experto en javascript, Gal Weizman, se dedicó a investigar este asunto de seguridad, y mostró interesantes conclusiones de ese estudio, como por ejemplo, que la versión web de la plataforma de mensajería está hecha con Electron, una herramienta que permite crear apps basadas en webs, lo que además es un estándar bastante recurrente como código para otras plataformas.

Además, Electron tiene su base en Chromium, el motor de Google Chrome el cual, como cualquier otro software, tiene problemas de seguridad.

Lo primero que descubrió Weizman con esos antecedentes es que, «Al usar la web de WhatsApp, puedo encontrar la línea de código donde se forma el objeto que contiene los metadatos del mensaje, manipularlo y luego dejar que la aplicación continúe en su flujo natural de envío de mensajes, creando así mi mensaje al pasar por alto el mecanismo de filtrado de la interfaz de usuario».

Después descubrió, tal como ocurrió en el hackeo de Bezos, que al insertar un enlace de una dirección web, se podía manipular el objetivo final, es decir, redireccionar a cualquier sitio que yo quisiera, con un disfraz y una dirección que parecía la real encima: «Uno puede manipular fácilmente las propiedades del banner antes de enviarlo al receptor».

Pantalla de ejemplo vulneración whatsapp
Imagen utilizada con permiso del titular de los derechos de autor

Luego usando javascript, lograba insertar el código malicioso XSS.

«Afortunadamente para WhatsApp, los navegadores basados ​​en Chromium agregaron un mecanismo de defensa contra los javascript:URI justo cuando encontré esta vulnerabilidad. Desafortunadamente para WhatsApp, en otros navegadores como Safari y Edge, esta vulnerabilidad todavía estaba abierta».

Finalmente introdujo una forma de vulnerar el Content Security Policy (CSP) de WhatsApp, que es otra capa de seguridad.

Vulneración whatsapp
Imagen utilizada con permiso del titular de los derechos de autor

Las conclusiones de Gal Weizman tras hacer esto por su cuenta fueron:

  1. Si su aplicación utiliza banners de vista previa enriquecidos y esos banners están diseñados en el lado de envío, su filtrado en el lado de recepción debe ser perfecto. No puede permitir que se carguen URL extrañas en el lado receptor sin asegurarse de que sean legítimas.
  2. Las reglas de CSP son súper importantes y podrían haber evitado gran parte de este desastre. Si las reglas de CSP estuvieran bien configuradas, la potencia obtenida por este XSS habría sido mucho menor. Poder evitar la configuración de CSP le permite a un atacante robar información valiosa de la víctima, cargar cargas útiles externas fácilmente y ¡mucho más!
  3. Si va a utilizar Electron, DEBE asegurarse de que se actualice con cada actualización de Chromium. Y esta es tan importante: las actualizaciones de Chromium no son solo nuevas características interesantes, en la mayoría de las actualizaciones de Chromium, se están reparando vulnerabilidades graves. Cuando se actualiza Chromium, tu aplicación basada en Electron también debe actualizarse, de lo contrario, dejarás a tus usuarios vulnerables a vulnerabilidades graves sin ningún motivo.

Recomendaciones del editor

Diego Bastarrica
Diego Bastarrica es periodista y docente de la Universidad Diego Portales de Chile. Especialista en redes sociales…
Mira el rediseño que WhatsApp prepara después de años
Te explicamos cómo agregar un contacto en WhatsApp.

La aplicación de WhatsApp nos parece sumamente similar durante años, posiblemente el modo oscuro y la aparición masiva de stickers y funciones, han sido las mayores actualizaciones, sin embargo, un rediseño está poco explorado.

El servicio de mensajería de Meta ahora está implementando la versión 2.23.18.18 a través del Programa Beta de Google Play. Según WABetaInfo, esta versión beta esconde un gran rediseño que realiza varios cambios en la interfaz de usuario.

Leer más
Por fin usuarios de Mac y Apple: WhatsApp estrena app nativa
whatsapp estrena app nativa mac apple macos

Una aplicación nativa muy esperada por los usuarios de Mac y de Apple acaba de estrenarse, se trata de la versión para macOS de Whatsapp.
La aplicación admite hasta ocho personas en una sesión de video grupal y hasta 32 en una llamada de audio, las cuales tendrán el mismo cifrado de extremo a extremo en su aplicación en otras plataformas. La aplicación estaba previamente en beta abierta.
Además de las videollamadas, los usuarios pueden arrastrar y soltar archivos en los chats, y la compañía dice que la aplicación también muestra más historial de chat. El diseño, dice Meta, está destinado a ser "familiar para los usuarios de Mac", con una interfaz de usuario que se adapte mejor a la pantalla más grande de una máquina de escritorio.
"Al igual que con WhatsApp en cualquier dispositivo, WhatsApp para Mac mantiene tus mensajes personales y llamadas privadas en todos los dispositivos con cifrado de extremo a extremo", dice Meta.

Por ahora, deberá descargar la aplicación directamente desde WhatsApp, pero Meta escribe que pronto llegará a la App Store de macOS.

Leer más
WhatsApp añade una nueva característica para simplificar los grupos
Comunidades, la evolución de los grupos de WhatsApp

Una nueva característica para simplificar los grupos de WhatsApp anunció este miércoles 23 de agosto, Mark Zuckerberg. Se trata de una manera de crear grupos sin necesidad de darles un nombre y automáticamente se generará el título con los nombres de los participantes.

En una captura de pantalla compartida por Zuckerberg, podemos ver uno de esos grupos titulado "Rocco & Li-Chen".

Leer más