Cómo un enlace malicioso en WhatsApp puede robar los nombres de tus contactos
Siempre que se hace un click en un hiperv�nculo enviado a trav�s de un mensaje de correo electr�nico o cualquier plataforma de mensajer�a, existe un cierto riesgo de que el enlace sea malicioso y el servidor al que nos conectamos intente atacarnos o capturar informaci�n nuestra. Esto, por supuesto, tambi�n pasa en WhatsApp y algunas veces de forma peculiar para espiar a personas a trav�s de WhatsApp, as� que cuidado con los enlaces.
 |
| Figura 1: C�mo un enlace malicioso en WhatsApp puede robar los nombres de tus contactos |
Al enviar un hiperv�nculo al que una persona hace clic, se puede acceder a la direcci�n IP desde la que se conecta - incluso hubo unas versiones en las que la conexi�n al servidor para cargar la miniatura era autom�tica y se podr�a saber la direcci�n de conexi�n a Internet de la otra persona sin que hiciera clic -, tambi�n se puede acceder a informaci�n como el dispositivo que se utiliza debido a lo verbose que son los smartphone en los User-Agent de sus navegadores, etc�tera.
 |
| Figura 2: Un User-Agent de Safari en iOS mostrando la versi�n de iPhone concreta |
En este caso, el leak de informaci�n que se produce en algunas versiones de WhatsApp es que te pueden robar el nombre que le has dado en tu agenda a un determinado contacto. Es decir, supongamos que das de alta en tu agenda de contactos de WhtasApp a un contacto con el nombre de "Antonio" y est� asociado al n�mero 555-555-555. Un atacante podr�a enviarte un enlace especialmente dise�ado para que dado el n�mero 555-555-555, si haces clic en �l dentro de un chat de WhatsApp, la misma app de WhatsApp env�e el nombre de "Antonio" sin que el usuario lo sepa.
PoC: Robando nombres de la agenda WhatsApp con enlaces
Este comportamiento lo ha descubierto Daniel Ses�, un joven investigador de seguridad, y ha hecho esta prueba de concepto en la que se puede ver c�mo funciona. B�sicamente hay un servidor malicioso que recibe por GET el valor name. El servidor almacena los valores de name en un fichero de texto. Este es el c�digo en el servidor malicioso de names.php.
 |
| Figura 3: C�digo de names.php en el servidor malicioso |
El atacante env�a por un chat de WhatsApp a la v�ctima un enlace poniendo en la variable name el n�mero de tel�fono de la persona de la que quiere obtener su nombre en la agenda de contactos de la v�ctima.
 |
| Figura 4: El enlace al servidor lleva la variable name y el n�mero de tel�fono del contacto del que queremos saber el nombre |
Cuando la v�ctima lo recibe, y hace clic en �l, la app de WhatsApp de la v�ctima env�a el nombre del contacto en la variable name del hiperv�nculo en lugar del n�mero de tel�fono original, lo que hace que el servidor malicioso reciba por GET en el valor name el nombre del contacto.
 |
| Figura 5: La v�ctima recibe el enlace, pero WhatsApp cambia el n�mero de tel�fono por el nombre en la agenda en la variable names. |
Seg�n las pruebas hechas, si el enlace que recibe la v�ctima lleva su n�mero, entonces env�a el "nickname" que us� �l mismo para el registro. Si lleva el n�mero de una persona de la agenda de contactos, entonces, como se ve en el v�deo, env�a el nombre del contacto hasta el primer espacio.
 |
| Figura 6: Valores recibidos en el servidor cuando se hace clic |
Si no lo tiene a�adido, se env�a el apodo con el que se registr� la v�ctima pero si el otro usuario ha hablado anteriormente con �l en un grupo y, conoce el apodo, o se env�an los primeros d�gitos del tel�fono.
Figura 7: PoC en v�deo de c�mo robar nombres de la agenda de WhatsApp
Estos comportamientos se basan en que la variable name es utilizada internamente en WhatsApp y su comportamiento cuando llegan estos enlaces y se hace clic en ellos, no parece controlado, por eso depende de la lista de valores que haya en la agenda. Ten presente este comportamiento para disfrutar de un uso m�s seguro de tus conversaciones y te recuerdo que en este art�culo os dej� todas las recomendaciones para Proteger tu WhatsApp a prueba de balas.
Saludos Malignos!
Sigue Un inform�tico en el lado del mal - Google+ RSS 0xWord
download file now