Нещодавній злам WhatsApp, здається, ще не повністю виправлений і найпопулярніша у світі платформа обміну повідомленнями може знову опинитися у центрі скандалу.
Минулого місяця WhatsApp виправив критичну вразливість у своєму додатку, яка могла дозволити зловмисникам віддалено компрометувати цільові пристрої та потенційно викрасти захищені повідомлення в чаті та файли, що зберігаються на них, пише TheHackerNews.
Уразливість, що відслідковується як CVE-2019-11931 – це проблема переповнення буфера на основі стека. Вона була виявлена, коли попередні версії WhatsApp обробляли метадані потокового відеофайлу у форматі MP4, внаслідок чого або програма “зависала” та припиняла функціонування, або відбувалася атака методом виконання віддаленого коду.
Для віддаленого використання вразливості зловмиснику потрібний лише номер телефона – з якого він контактує з обраними користувачами та надсилає їм зловмисно створений файл MP4 через WhatsApp, який врешті-решт можна запрограмувати на беззвучне встановлення зловмисного додатка або шпигунських програм на компрометованих пристроях.
Уразливість впливає як на індивідуальних споживачів, так і на корпоративні аккаунти WhatsApp для всіх основних платформ, включаючи Google Android, Apple iOS та Microsoft Windows.
Згідно з рекомендацією, опублікованою Facebook, якій належить WhatsApp, ось список таких версій, які є вразливими:
- Версії для Android до 2.19.274;
- Версії для iOS до 2.19.100;
- Версії корпоративного клієнта до 2.25.3;
- Версії для Windows Phone до та включаючи 2.18.368;
- Бізнес-версії для Android до 2.19.104;
- Бізнес-версії для iOS до 2.19.100;
Обсяг, критичість та вплив щойно виправленої вразливості схожі на недавню вразливість дзвінків через VoIP у WhatsApp, яку експлуатувала ізраїльська компанія NSO Group для встановлення шпигунських програм Pegasus на майже 1400 цільових пристроях Android та iOS по всьому світу.
На момент написання повідомлення не ясно, чи вразливість з відеофайлами MP4 також реально використовувалася як вразливість “нульового дня” до того, як Facebook дізнався про це та виправив її. Тим часом, якщо Ви вважаєте себе однією з потенційних цілей спостереження і отримали випадковий відеофайл MP4 на WhatsApp з невідомого номеру за останні місяці, вам слід приділити більше уваги майбутнім наслідкам цієї події.
Уразливість WhatsApp MP4 з’явилася лише через два тижні після того, як Facebook подав до суду на групу NSO за неправомірне використання служби WhatsApp для шпигунством з користувачами. Однак, принаймні, в Індії це не вийшло так, як задумано, і сам гігант соціальних медіа потрапив під ретельну перевірку уряду, який піднімав питання щодо безпеки його зашифрованого додатка. Наразі всім користувачам рекомендується переконатися, що на їхньому пристрої працює остання версія WhatsApp та відключити автоматичне завантаження зображень, аудіо та відеофайлів із налаштувань програми.
До речі, Facebook нарешті представив платіжну систему Facebook Pay – її розглядають як заявку на спрощення як покупок, так і грошових переказів у соціальній мережі.
Зверніть увагу, Google вирішив “присоромити” повільні сайти за допомогою значків. Компанія експериментує з різними варіантами позначень у браузері Chrome для веб-сайтів, які “у загальному випадку працюють повільно”.
Також Міністерство оборони США звинуватило кіберзлочинців, які працюють на уряд Північної Кореї, в кібератаках на фінансовий сектор, в тому числі на мережу SWIFT, з метою збагачення.
Стало відомо, що дохід від кіберзлочинності оцінюється в $ 1,5 трлн, в той час як загальний обсяг ринку кібербезпеки в 2019 році склав $ 136 млрд.
Дослідники безпеки виявили уразливості в декількох популярних Android-телефонах. За словами експертів, проблема зачіпає як мінімум 10 популярних Android-пристроїв, в тому числі Google Pixel 2, Huawei Nexus 6P і Samsung Galaxy S8 Plus.
