sheepico

Seriózne. Lebo ľudia sú ovce..

Veľká bezpečnostná diera otvorila populárny WhatsApp pre hackerov

Veľká bezpečnostná chyba v programe WhatsApp umožnila hackerom vzdialene inštalovať monitorovací softvér na zariadeniach Apple aj Google Android.

Financial Times uvádza, že populárna aplikácia na posielanie šifrovaných správ, WhatsApp, mala obzvlášť znepokojujúcu bezpečnostnú chybu, ktorá umožnila hackerom inštalovať monitorovací softvér na telefóny a iné zariadenia. Koordinované pokusy o hacking sa podľa správy zameriavali na „zvolený počet“ užívateľov a plánoval ich „pokročilý hacker“.

Financial Times tvrdí, že monitorovací softvér používaný hackermi bol vyvinutý izraelskou bezpečnostnou firmou NSO Group; táto zraniteľnosť bola prvýkrát objavená v máji a platforma WhatsApp navrhla všetkým 1.5 miliardám používateľov, aby aktualizovali svoje aplikáciu a tak získali opravu pre problém. Záplata bola vydaná v piatok. Spoločnosť Facebook, ktorá vlastní WhatsApp propagovala túto platformu ako aplikáciu bezpečného zasielania správ vzhľadom na to, že odoslané správy sú šifrované medzi koncovými bodmi, čo znamená, že ich bude môcť zobraziť iba príjemca a odosielateľ správ v čitateľnom formáte.

Avšak táto chyba by umožnila útočníkovi ľahko čítať správy odoslané medzi používateľmi. Ahmed Zidan z neziskového výboru na ochranu novinárov uverejnil tweet, v ktorom vyzval „novinárov, právnikov, aktivistov a obhajcov ľudských práv“, aby aktualizovali svoje aplikácie WhatsApp, ktoré by mohli útokom ľahko zacieliť.

Útok zahŕňal použitie systému hlasových hovorov WhatsApp na prezvonenie cieľového zariadenia. Aj keď cieľ neodpovedal na hovor, monitorovací softvér mohol byť nainštalovaný na ich zariadení. WhatsApp v informačnom dokumente pre novinárov uviedol: „Útok má všetky znaky súkromnej spoločnosti, ktorá údajne spolupracuje s vládami na poskytovaní spyware, ktorý preberá funkcie operačných systémov mobilných telefónov.“

WhatsApp publikoval rady pre bezpečnostnch špecialistov, popisujúc túto zraniteľnosť nasledovne: „Chyba pri pretečení bufferu v zásobníku WhatsApp VOIP [hlas cez internetový protokol] umožnila vzdialené spustenie kódu pomocou špeciálne vytvorených sérií paketov SRTCP [bezpečný real-time transport] odoslaných na cieľové telefónne číslo.“

Podľa profesora Alana Woodwarda z University of Surrey je to „staromódny“ spôsob útoku. Woodward uviedol: „Pri pretečení vyrovnávacej pamäte je aplikácii pridelené viac pamäte, než v skutočnosti potrebuje, takže v pamäti zostáva priestor. Ak ste schopní preniesť nejaký kód prostredníctvom aplikácie, môžete spustiť svoj vlastný kód v tejto oblasti. Vo VOIP je počiatočný proces, ktorý vytáča a vytvára hovor a chyba bola v tom priestore. V dôsledku toho ste nemuseli odpovedať na hovor a útok mohol byť úspešný.“

WhatsApp uviedol, že je v súčasnosti príliš skoro určiť, koľko ľudí bolo zacielených na útok alebo ako dlho bola táto chyba v aplikácii prítomná. WhatsApp neobjasnil, či by útok mohol presahovať aplikáciu WhatsApp na telefónoch používateľov aj do iných aplikácií, ako sú e-maily, hovory a fotografie.