Подписывайтесь на Газету.Ru в Telegram Публикуем там только самое важное и интересное!
Новые комментарии +

Еще одна дыра: хакеры похищали данные через WhatsApp

Уязвимость в WhatsApp позволяла хакерам красть пользовательские данные

В WhatsApp была обнаружена очередная проблема с безопасностью — хакеры могли получить доступ к личным данным пользователя при помощи единственного текстового сообщения, отправленного жертве. Речь идет о декстопных версиях мессенджера, которые, по признанию ИБ-экспертов, считаются менее защищенными, чем мобильные, и потому более подвержены кибератакам.

Исследователь кибербезопасности Гэл Вайзман сообщил об обнаружении очередной уязвимости в мессенджере WhatsApp. Речь идет о бреши в системе безопасности мессенджера, которая позволяла злоумышленникам получить доступ к личным данным жертвы через десктопную версию — как для Windows, так и для MacOS.

Как объяснил «Газете.Ru» консультант Центра информационной безопасности компании «Инфосистемы Джет» Глеб Карманов, обнаруженная уязвимость позволяла удаленно получить доступ к локальным файлам компьютера. Для осуществления атаки хакеру требовалось отправить пользователю всего одно сообщение, которое на деле является замаскированной гиперссылкой. Злоумышленник мог подделать ссылку так, чтобы она была очень похожей на адрес популярного ресурса, при этом окошко с предпросмотром ссылки также выглядело бы аутентично.

При переходе пользователя WhatsApp по поддельной ссылке осуществлялся запрос указанного злоумышленником файла, который открывался на чтение, при этом сам пользователь мог быть переадресован на сайт популярного ресурса.

«Такая уязвимость оказалась возможна по нескольким причинам. Во-первых, баннер с предпросмотром ссылки генерируется на отправляющей стороне и не фильтруется на принимающей, что позволяло ее подделать.

Во-вторых, оказалось, что веб- и десктоп-клиенты мессенджера работали на устаревших версиях ПО.

Это дало возможность использовать техники межсайтового скриптинга, которые заключаются во внедрении вредоносного кода в выдаваемую веб-системой страницу», — сообщил эксперт.

По словам старшего инженера по мобильной безопасности Avast Войтеха Бочека, приложение WhatsApp для ПК было уязвимо для так называемой XSS-атаки.

«Злоумышленник мог отправить в чат специально созданную ссылку, которая будет выполнять код JavaScript на компьютере жертвы, когда она перейдет по ней. Это плохо само по себе, и при этом ситуация еще усугубляется неправильной настройкой приложения на платформе Electron, которую WhatsApp использует в десктопной версии. Песочница безопасности была деактивирована из-за плохой настройки приложения», — сообщил Бочек.

Гэл Вайзман описал обнаруженную им проблему в своем блоге, возмутившись тому, что «на дворе 2020 год», а некоторые приложения все еще позволяют получить полный доступ к системе пользователя и удаленно выполнять код при помощи единственного заготовленного заранее сообщения.

ИБ-эксперт Jamf Патрик Уордл в беседе с Mashable отметил, что зачастую десктопные версии приложений подвергаются менее строгим проверкам безопасности, чем мобильные, из-за чего они гораздо больше подвержены хакерским атакам. 

«Очень интересный баг с большим потенциалом по охвату огромного количества пользователей (я сам пользуюсь десктопным WhatsApp), так что я рад, что он был обнаружен, и что Facebook его быстро устранил», — заявил Уордл.

В компании Facebook, владеющей WhatsApp, отказались сообщить, сколько пользователей могли быть подвержены этой атаке, и пострадал ли кто-нибудь из них.

В последнее время атаки на WhatsApp становятся пугающе частыми, что вызывает большое количество негатива в адрес мессенджера. Одним из самых известных критиков WhatsApp является создатель конкурирующего приложения Telegram Павел Дуров, который периодически публикует посты с призывами удалить мессенджер от Facebook и никогда им больше не пользоваться. 

В конце января Дуров вновь раскритиковал WhatsApp, заявив о том, что приложение является уязвимым для злоумышленников и сотрудников силовых структур. Причиной для публикации стали новости о взломе смартфона главы Amazon Джеффа Безоса, который предположительно был совершен властями Саудовской Аравии при помощи сообщения в WhatsApp.

«Атака, по-видимому, исходила от иностранного правительства, вполне вероятно, что и другие бизнесмены и чиновники стали ее жертвами», — подчеркнул создатель Telegram.

Он добавил, что сейчас удалить WhatsApp с гаджетов рекомендует своим сотрудникам ООН, а окружению президента США Дональда Трампа и вовсе советуют купить новые телефоны.

Это не кофе, а мусор в красивой банке: худшие маркиДо какого возраста женщине нужен мужчина: вас это ошарашитСтрашное явление накроет всё человечество: будет 16 февраляВо что превратился «Адмирал Нахимов» РФ, это надо видеть!На Украине истерика из-за необычной атаки РФКитай предательски подставил Россию: все сделали тихоОвощ, умертвляющий почки: а в России его все обожаютКеллог заявил, что ждёт потерянные территории УкраиныСанкции отменяются? Заявление Путина потрясло мир — СМИВот и оно: судьба военных баз РФ в Сирии решенаВинник вернулся в РФ и тут же сделал объявление о ПутинеСоловьев наговорил про Трампа такое, что в США не смолчалиЧто заявил генерал Гурулев о руководстве, узнав решение ГосдумыВ море обнаружено судно с тысячами людей, потерявших стыдОбращение Путина лично к дочери Кадырова: что с нейНа вечеринку с Хакамадой ворвались силовики и вот что нашлиСиловики не покидают затонувший танкер: что заподозрили«Смерть мозга»: врачи оценили шансы КеосаянаОпрос показал истинное отношение абхазцев к русскимМакаревич* переобулся? Но уже слишком поздно
Новости и материалы
В СТЦ прокомментировали переговоры по возвращению в РФ зарубежных брендов одежды
В США ждут от Европы предложений по миротворцам и гарантиям безопасности для Украины
В Гагаузии выступили за возобновление авиарейсов между РФ и Молдавией
Авиакомпания Red Wings объяснила задержку рейса Екатеринбург-Пхукет
В Египте заявили, что ХАМАС не будет участвовать в управлении сектором Газа
Стало известно, как G7 будет принимать решения о вводе новых санкций против РФ
Вайкуле раскритиковали за признание в любви жителям всех стран
В Мюнхене началась крупная акция протеста против НАТО
Сотни россиян не могут почти сутки улететь в Таиланд из Екатеринбурга
Франция заявила, что никто не может навязывать Европе свою модель
В Италии раскрыли отношение ЕС к переговорам по Украине
В Кремле оценили сообщения о возможном возвращении западного бизнеса в РФ
Медведев уверен, что Европа «проглотит» резкие высказывания Вэнса
Российский футболист «Спартака» покинет клуб
Лучший шахматист мира присоединился к киберспортивной команде Team Liquid
Фундамент просел, ограда покосилась: стало известно о состоянии могилы Георгия Вицина
Дроны ВСУ атаковали три белгородских села
В ХМАО загорелось кафе
Все новости
[]