El ataque requiere que un miembro malintencionado del grupo manipule otros parámetros asociados con los mensajes
WhatsApp, la aplicación de mensajería cifrada de extremo a extremo más popular del mundo, parchó un error de software increíblemente frustrante que podría haber permitido que un miembro malicioso del grupo bloquease la aplicación de mensajería para todos los miembros del mismo grupo, según descubrió The Hacker News.
Simplemente al enviar un mensaje creado con fines malintencionados a un grupo objetivo, un atacante puede desencadenar un bucle de bloqueo de WhatsApp totalmente destructivo, lo que obliga a todos los miembros del grupo a desinstalar completamente la aplicación, reinstalarla y eliminar el grupo para recuperar el funcionamiento normal.
Dado que los miembros del grupo no pueden eliminar selectivamente el mensaje malicioso sin abrir la ventana del grupo y volver a activar el bucle de bloqueo, tienen que perder todo el historial de chat del grupo, indefinidamente, para deshacerse de él.
Descubierto por investigadores de la firma israelí de ciberseguridad Check Point, el último error reside en la implementación del protocolo de comunicación XMPP de WhatsApp que bloquea la aplicación cuando un miembro con un número de teléfono no válido deja caer un mensaje en el grupo.
"Cuando intentamos enviar un mensaje donde el parámetro 'participant' recibe un valor de 'null', se lanza una 'excepción de puntero nulo'", explican los investigadores en un informe compartido con The Hacker News antes de su lanzamiento.
"El analizador del número de teléfono del participante maneja mal la entrada cuando se recibe un número de teléfono ilegal. Cuando recibe un número de teléfono con una longitud, no en el rango 5-20 o un carácter sin dígitos, lo leería como un 'cadena nula'".
Cabe señalar que el problema residía en WhatsApp para Android e iOS, pero en una entrevista con The Hacker News, el investigador de Check Point, Roman Zaikin, confirmó que el exploit funciona sin problemas contra todos los usuarios vulnerables de Android, pero a veces no se reproduce en iOS .
El ataque requiere que un miembro del grupo malintencionado manipule otros parámetros asociados con los mensajes en una conversación que de otro modo está protegida mediante el cifrado de extremo a extremo.
Para llevar a cabo este ataque, un atacante puede aprovechar WhatsApp Web y una herramienta de depuración del navegador web en combinación con una herramienta de manipulación de código abierto WhatsApp que Check Point lanzó el año pasado.
La herramienta de manipulación de WhatsApp es una extensión para el software de prueba de penetración Burp Suite que permite a los usuarios interceptar, descifrar y volver a cifrar su comunicación de WhatsApp utilizando sus propias claves de cifrado.
Como se muestra en la demostración en video, los investigadores utilizaron esta configuración para activar el error de bloqueo contra todos los miembros de un grupo simplemente reemplazando el parámetro del participante del número de teléfono del remitente a
"El error bloqueará la aplicación, y continuará bloqueándose incluso después de que volvamos a abrir WhatsApp, resultando en un ciclo de bloqueo", dicen los investigadores.
"Además, el usuario no podrá volver al grupo y todos los datos que se escribieron y compartieron en el grupo ahora se han ido para siempre. El grupo no puede restaurarse después de que ocurra el bloqueo y tendrá que ser eliminado para poder para detener el ataque".
Cabe señalar que el ataque no afectaría al remitente ya que el mensaje malicioso se inyectó en tránsito después de salir del dispositivo del remitente.
Check Point informó este error de manera responsable al equipo de seguridad de WhatsApp a fines de agosto de este año, y la compañía parchó el problema con el lanzamiento de la versión 2.19.58 de WhatsApp a mediados de septiembre.
Los desarrolladores de WhatsApp también "agregaron nuevos controles para evitar que las personas se agreguen a grupos no deseados para evitar la comunicación con partes que no son de confianza".
"Debido a que WhatsApp es uno de los principales canales de comunicación del mundo para consumidores, empresas y agencias gubernamentales, la capacidad de detener a las personas que usan WhatsApp y eliminar información valiosa de los chats grupales es un arma poderosa para los malos actores", dijo Oded Vanunu, Jefe de Investigación de Vulnerabilidad del Producto de Check Point.
Se recomienda a los usuarios de WhatsApp que siempre mantengan sus aplicaciones actualizadas para protegerse contra ataques conocidos.
