Skip to main content

Así funciona una falla crítica de WhatsApp que puede tomar tus archivos

¿Cómo funciona una falla crítica de WhatsApp que puede robarte tus datos?

WhatsApp ha estado en la mira de los expertos en los últimos meses, no solo por la grave vulneración mediática que sufrió Jeff Bezos, sino que también por reportes que indican varias vulnerabilidades durante 2019.

Es justamente una de esas fallas del año pasado, descubiertas en el mes de agosto, la que permitía que el servicio de mensajería accediera a tus archivos de Windows o Mac si estabas usando la versión web.

Tras el descubrimiento de la vulnerabilidad por parte de la gente de Checkpoint, el experto en javascript, Gal Weizman, se dedicó a investigar este asunto de seguridad, y mostró interesantes conclusiones de ese estudio, como por ejemplo, que la versión web de la plataforma de mensajería está hecha con Electron, una herramienta que permite crear apps basadas en webs, lo que además es un estándar bastante recurrente como código para otras plataformas.

Además, Electron tiene su base en Chromium, el motor de Google Chrome el cual, como cualquier otro software, tiene problemas de seguridad.

Lo primero que descubrió Weizman con esos antecedentes es que, «Al usar la web de WhatsApp, puedo encontrar la línea de código donde se forma el objeto que contiene los metadatos del mensaje, manipularlo y luego dejar que la aplicación continúe en su flujo natural de envío de mensajes, creando así mi mensaje al pasar por alto el mecanismo de filtrado de la interfaz de usuario».

Después descubrió, tal como ocurrió en el hackeo de Bezos, que al insertar un enlace de una dirección web, se podía manipular el objetivo final, es decir, redireccionar a cualquier sitio que yo quisiera, con un disfraz y una dirección que parecía la real encima: «Uno puede manipular fácilmente las propiedades del banner antes de enviarlo al receptor».

Pantalla de ejemplo vulneración whatsapp

Luego usando javascript, lograba insertar el código malicioso XSS.

«Afortunadamente para WhatsApp, los navegadores basados ​​en Chromium agregaron un mecanismo de defensa contra los javascript:URI justo cuando encontré esta vulnerabilidad. Desafortunadamente para WhatsApp, en otros navegadores como Safari y Edge, esta vulnerabilidad todavía estaba abierta».

Finalmente introdujo una forma de vulnerar el Content Security Policy (CSP) de WhatsApp, que es otra capa de seguridad.

Vulneración whatsapp

Las conclusiones de Gal Weizman tras hacer esto por su cuenta fueron:

  1. Si su aplicación utiliza banners de vista previa enriquecidos y esos banners están diseñados en el lado de envío, su filtrado en el lado de recepción debe ser perfecto. No puede permitir que se carguen URL extrañas en el lado receptor sin asegurarse de que sean legítimas.
  2. Las reglas de CSP son súper importantes y podrían haber evitado gran parte de este desastre. Si las reglas de CSP estuvieran bien configuradas, la potencia obtenida por este XSS habría sido mucho menor. Poder evitar la configuración de CSP le permite a un atacante robar información valiosa de la víctima, cargar cargas útiles externas fácilmente y ¡mucho más!
  3. Si va a utilizar Electron, DEBE asegurarse de que se actualice con cada actualización de Chromium. Y esta es tan importante: las actualizaciones de Chromium no son solo nuevas características interesantes, en la mayoría de las actualizaciones de Chromium, se están reparando vulnerabilidades graves. Cuando se actualiza Chromium, tu aplicación basada en Electron también debe actualizarse, de lo contrario, dejarás a tus usuarios vulnerables a vulnerabilidades graves sin ningún motivo.

Recomendaciones del editor

Diego Bastarrica
Diego Bastarrica es periodista y docente de la Universidad Diego Portales de Chile. Especialista en redes sociales…
WhatsApp: de qué se trataría su nueva función newsletter
whatsapp chat contigo mismo london  uk may 7th 2017 hand holding logo

Una publicación del sitio especializado Wabetainfo, indica que WhatsApp está trabajando en una nueva función llamada Newsletter, donde creadores de contenido entregaran boletines personalizados por la red social y los usuarios podrán suscribirse a ellos.

El código en la versión beta es 2.23.5.3 y la herramienta de transmisión de uno a muchos será opcional y autónoma dentro de su propia sección de la pestaña Estado de WhatsApp, separada de los chats y mensajes grupales cifrados.

Leer más
El audio sexual de WhatsApp que dejó en vergüenza a la BBC y a Gary Lineker
audio sexual whatsapp dejo en verguenza bbc gary lineker gemido

Existe una extendida broma que se hacen los amigos en WhatsApp, eso de mandarse un video o un audio supuestamente serio y al abrirlo en los lugares más recatados, encontrarse con un gemido sexual de aquellos.

Eso fue lo que le pasó al ex futbolista y mundialista inglés Gary Lineker en la transmisión de la FA Cup en BBC Sports.

Leer más
Súper WhatsApp: ahora puede evitar bloqueos con proxy
whatsapp evitar bloqueos con proxy christian wiediger 5bg 9id a6i unsplash  1

Una importante barrera a la censura y los bloqueos de comunicaciones e internet está permitiendo WhatsApp en una nueva función, ya que a través de un comunicado anunció que ahora su servicio podrá usarse con proxy.

La plataforma propiedad de Meta comentó que, "al elegir un proxy, podrás conectarte a WhatsApp por medio de servidores configurados por voluntarios y organizaciones de todo el mundo que se dedican a ayudar a las personas a comunicarse de forma gratuita".

Leer más