Fb corrige el problema de seguridad del chat grupal de WhatsApp



La falla permitió a los atacantes bloquear repetidamente el chat grupal y obligar a los usuarios a desinstalar y reinstalar la aplicación, dice Check out Level.

Fb corrigió un error en su plataforma de chat de WhatsApp que brindaba a los atacantes una forma de enviar un mensaje de chat grupal malicioso capaz de bloquear repetidamente la aplicación completa para todos los miembros de un grupo de chat objetivo.

Para recuperar el acceso a la aplicación, la víctima habría tenido que desinstalar y volver a instalar WhatsApp. Sin la reinstalación, el usuario no podía volver al grupo de chat porque la aplicación se bloqueaba repetidamente con cada intento.

El grupo objetivo en sí tendría que eliminarse y reiniciarse, lo que resultaría en una pérdida completa del historial de chat grupal, dijo Verify Position.

«El crash-loop es un asesinato de la aplicación que es imparable», dice Ekram Ahmed, jefe de relaciones públicas de Examine Place. «En el primer ciclo, la aplicación se bloquea. Luego, el usuario intenta regenerar la aplicación. La aplicación se bloquea de nuevo sin previo aviso. Es un bucle constante que bloquea la aplicación, una y otra vez», dice.

Esta es la segunda vez en los últimos meses que Examine Issue identifica un problema en WhatsApp. En Black Hat Usa este agosto, los investigadores de la compañía mostraron cómo un atacante podía interceptar y manipular los mensajes de WhatsApp en un entorno personal o grupal para difundir noticias falsas y crear otros problemas.

Los investigadores de Check out Point utilizaron una herramienta de depuración net para interceptar y descifrar la comunicación que ocurre entre WhatsApp y WhatsApp World-wide-web cuando un usuario inicia la versión de escritorio de la aplicación. Al reemplazar algunos de los parámetros en esa comunicación, los investigadores mostraron cómo podían cambiar el contenido de los mensajes de chat y hacerse pasar por otros.

En ese momento, Fb describió el problema como algo que no tiene nada que ver con la seguridad del cifrado de extremo a extremo en su plataforma de mensajería. En cambio, la compañía ha dicho que el problema es comparable a alguien alterando el contenido de un mensaje de correo electrónico. Más de 500 millones de personas en todo el mundo en promedio están activas en WhatsApp diariamente, según Statista.

El último exploit, y ahora parcheado, implica la misma comunicación entre la versión móvil y la versión world wide web de WhatsApp. En este caso, los investigadores descubrieron que al examinar y manipular un parámetro de mensaje específico que contiene el número de teléfono del remitente del mensaje, podrían provocar que la aplicación se bloquee para todos los miembros de un grupo de chat.

Un atacante primero necesitaría obtener acceso a un grupo objetivo y asumir la identidad de un miembro del grupo, lo que en este caso podría lograrse manipulando el parámetro del mensaje que contiene el número de teléfono del usuario, dice Ahmed. WhatsApp permite que hasta 256 miembros formen parte de un solo grupo.

El atacante podría editar otros parámetros de mensajes específicos y crear un mensaje malicioso que se envía a todos los miembros de un grupo objetivo, provocando el bloqueo.

Verify Stage informó el problema al programa de recompensas de errores de WhatsApp en agosto y el problema se resolvió rápidamente, dijo el proveedor de seguridad. Hay una solución para la falla disponible en WhatsApp versión 2.19.58 y los usuarios deben aplicarla manualmente lo antes posible, aconsejó Test Position.

Erich Kron, defensor de la conciencia de seguridad en KnowBe4, dijo que si bien el error es destructivo e inconveniente, al menos no permite que se exponga el contenido de las conversaciones o los datos personales. Apple Store actualmente no tiene la nueva versión fija de WhatsApp disponible para descargar, señaló, pero los usuarios deben seguir revisando y aplicar el parche tan pronto como esté disponible.

Contenido relacionado:

Jai Vijayan es un experimentado reportero de tecnología con más de 20 años de experiencia en periodismo comercial de TI. Recientemente fue editor sénior en Computerworld, donde cubrió temas de seguridad de la información y privacidad de datos para la publicación. En el transcurso de sus 20 años … Ver biografía completa

Más ideas





Enlace a la noticia first