idioma
WhatsApp es el cliente de mensajería más utilizado en todo el mundo. A diario, millones de usuarios utilizan esta plataforma para compartir todo tipo de mensajes, desde texto hasta imágenes y documentos. La seguridad de la infraestructura de WhatsApp ha mejorado notablemente en los últimos años, y cuenta con un cifrado de extremo a extremo imposible de romper. Sin embargo, más allá del protocolo, Facebook no se preocupa demasiado por la seguridad. Y esto ha hecho que todos los usuarios que utilizaran WhatsApp desde un PC, ya sea la versión web o la versión desktop, hayan estado en peligro.
Un conjunto de fallos de seguridad en WhatsApp Web, y en la versión Electron de WhatsApp Desktop, han estado bastante tiempo poniendo en peligro la seguridad de los usuarios de PC. Estos fallos de seguridad, descubiertos por un investigador de PerimeterX, han sido registrado como CVE-2019-18426, y han recibido una puntuación de 8.2 puntos, ya que, aunque se podían explotar de forma remota, la mayoría de ellos requerían la interacción del usuario para tener éxito.
Al combinar estos fallos de seguridad, un atacante podía ser capaz de robar de forma remota los archivos de las víctimas almacenados tanto en Windows como en macOS. Además, el ataque es totalmente invisible, es decir, la víctima no se da cuenta de que el pirata informático tiene control sobre el equipo. Hasta que es demasiado tarde.
El fallo de seguridad de WhatsApp Web se basa principalmente en una mala configuración por defecto de las políticas de seguridad de contenido (CSP) de WhatsApp. A causa de ella, un atacante puede crear un ataque XSS, ocultarlo dentro de un enlace malicioso creado específicamente para ese fin.
Cuando el usuario recibe dicho enlace a través de WhatsApp, y lo abre, el pirata informático automáticamente consigue acceso a todos los directorios del PC. Incluso a los directorios del sistema con ficheros clave de Windows.
Debido a la mala configuración de seguridad, los piratas informáticos pueden incluso cargar archivos al sistema. El investigador de seguridad que ha descubierto este fallo de seguridad afirma que puede utilizarse, por ejemplo, para instalar troyanos o un ransomware de forma remota.
Manipulando los banners de las URL, incluso podría utilizarse la vulnerabilidad para realizar phishing y engañar al usuario para que abra una web cuando en realidad está abriendo otra.
Los investigadores de seguridad que detectaron este fallo lo reportaron de forma privada a Facebook para su correcta subsanación. Y gracias al programa Bug Bounty, además, Facebook les ha recompensados con 12.500 dólares. El fallo ha permanecido en secreto hasta hoy, cuando han pasado 3 meses desde el reporte. Facebook lo ha solucionado y, por lo tanto, se ha podido publicar la información al respecto sin poner más en peligro a los usuarios.
Los fallos de seguridad tanto en WhatsApp Web como en WhatsApp para iPhone que permitían llevar a cabo estos ataques informáticos ya no ponen en peligro a los usuarios. Si utilizamos la última versión de ambas herramientas no tendremos de qué preocuparnos. Además, no hay constancia de que estos fallos se hayan utilizado para atacar a los usuarios y poner en peligro su seguridad.
Los usuarios de Android no se han visto afectados por estos fallos de seguridad. Este sistema operativo cuenta con unas políticas CSP mucho más estrictas. Por lo tanto, mitigaban automáticamente las vulnerabilidades.
Fuente: perimeterx
Copyright © 2018 by idescpu ® - Engine by idescpu.co
