Atender uma simples video-chamada pode comprometer a sua conta do WhatsApp

Atender uma simples video-chamada pode comprometer a sua conta do WhatsApp.

A investigadora do Google Project Zero, Natalie Silvanovich, encontrou uma vulnerabilidade crítica no WhatsApp que poderia permitir que os hackers controlassem remotamente o seu WhatsApp.

A vulnerabilidade podia ser explorada quando um agente malicioso iniciasse uma video-chamada para a vítima.

A vulnerabilidade é um problema memory heap overflow e que é acionada quando um utilizador recebe um pacote RTP malformado especialmente criado por meio de uma solicitação de chamada de vídeo, o que resulta num erro de corrupção e crash da aplicação WhatsApp.

Como a vulnerabilidade afeta a implementação do WhatsApp em RTP (Real-time Transport Protocol), a falha afeta as apps Android e iOS, mas não o WhatsApp versão Web, que depende do componente WebRTC para chamadas de vídeo.

Silvanovich também publicou um exploit como prova de conceito, juntamente com as instruções para reproduzir o ataque do WhatsApp.

Embora a prova de conceito publicada por Silvanovich apenas desencadeie corrupção de memória, outro investigador do Google Project Zero, Tavis Ormandy, afirma que “isso é um grande problema. Basta atender uma chamada de um invasor e o WhatsApp pode estar complementamente comprometido“.

This is a big deal. Just answering a call from an attacker could completely compromise WhatsApp. https://t.co/vjHuWt8JYa
— Tavis Ormandy (@taviso) October 9, 2018

Os hackers só precisam do número de telefone da vítima para invadir completamente a sua conta do WhatsApp e espionar as conversas “secretas”.

Silvanovich descobriu a vulnerabilidade e reportou-a para a equipa do WhatsApp em agosto. A equipa do WhatsApp tomou conhecimento e remendou a falha de segurança em 28 de setembro nos clientes Android e em 03 de outubro nos clientes do IPhone.

Se ainda não efetuou o update para a versão mais recente deve considerar fazê-lo ASAP.

Pedro Tavares

Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.

In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.