Hackers usaram falha Zero-day do WhatsApp para instalar secretamente spyware em telefones

por Adriano Lopes em 14 de maio de 2019 no site Mundo Hacker

Recentemente, o Whatsapp corrigiu uma vulnerabilidade severa que estava sendo explorada por invasores para instalar remotamente malwares de vigilância em alguns smartphones “selecionados”, simplesmente ligando para os números de telefone alvo através da chamada de áudio do WhatsApp.

Descoberto, armado e depois vendido pela empresa israelense NSO Group, que produz o spyware móvel mais avançado do planeta, a exploração do WhatsApp instala o spyware do Pegasus em dispositivos Android e iOS.

De acordo com um comunicado publicado pelo Facebook, uma vulnerabilidade de estouro de buffer no VOIP do WhatsApp permite que atacantes remotos executem código arbitrário em telefones de destino enviando uma série especialmente criada de pacotes SRTCP. 

Aparentemente, a vulnerabilidade, identificada como CVE-2019-3568 , pode ser explorada com sucesso para instalar o spyware e roubar dados de um telefone Android ou iPhone direcionado simplesmente fazendo uma chamada WhatsApp, mesmo quando a chamada não é atendida.

Além disso, a vítima não poderá descobrir mais sobre a invasão depois que o spyware apagar as informações de chamadas recebidas dos registros para operar furtivamente.

Embora o número exato de usuários do WhatsApp ainda não seja conhecido, os engenheiros do WhatsApp confirmaram que apenas um “número selecionado” de usuários foi alvo do spyware do NSO Group usando esta vulnerabilidade.

Enquanto isso, o Citizen Lab, um grupo de vigilância da Universidade de Toronto que está investigando as atividades do NSO Group, acredita que a vulnerabilidade foi usada para atacar um advogado de direitos humanos com base no Reino Unido recentemente, no domingo.

O spyware Pegasus do NSO Group permite que invasores acessem uma quantidade incrível de dados remotamente dos smartphones das vítimas, incluindo mensagens de texto, e-mails, mensagens WhatsApp, detalhes de contatos, registro de chamadas, localização, microfone e câmera – tudo sem o conhecimento das vítimas.

O desagradável spyware já foi usado contra ativistas de direitos humanos e jornalistas , do México aos Emirados Árabes Unidos , e funcionários da Anistia Internacional na Arábia Saudita e outro defensor dos direitos humanos saudita no exterior no ano passado.

A vulnerabilidade afeta todos, exceto a versão mais recente do WhatsApp no ​​iOS e Android, o que significa que a falha afetou todos os 1,5 bilhão de pessoas que usam o WhatsApp até ontem, quando o Facebook finalmente corrigiu o problema.

“O problema afeta o WhatsApp para Android antes de v2.19.134, WhatsApp Business para Android antes de v2.19.44, WhatsApp para iOS antes de v2.19.51, WhatsApp Business para iOS antes de v2.19.51, WhatsApp para Windows Phone antes de v2. 18.348 e WhatsApp para Tizen antes da v2.18.15, “diz o Facebook.

Os engenheiros do WhatsApp descobriram a vulnerabilidade no início deste mês e alertaram o Departamento de Justiça sobre o assunto. Eles incentivam os usuários do iOS e do Android a atualizar seus aplicativos para a versão mais recente do popular aplicativo de mensagens o mais rápido possível. 

Facebook planeja importante integração entre Instagram, WhatsApp e Messenger

IDGNow em 25/01/2019

O Facebook tem trabalhado em uma nova infraestrutura para integrar seus populares aplicativos: Messenger, WhatsApp e Instagram, segundo reportagem do The New York Times, que ouviu fontes familiares ao assunto. O movimento permitiria usuários do Facebook Messenger encaminhar mensagens para contatos do Instagram ou do WhatsApp e vice-versa.

Tais planos ainda são iniciais e a expectativa é que a integração seja concluída apenas em 2020. De acordo com a reportagem, Mark Zuckerberg, CEO do Facebook, também teria solicitado que todos os apps incorporem criptografia de ponta a ponta. Com isso, um usuário do Messenger poderia mandar uma mensagem para outro no WhatsApp e a conversa seria criptografada dos dois lados. Atualmente isso não é possível dado ao fato de que os apps são separados. 

Cada serviço continuará a operar como um aplicativo independente. Entretanto, o que o Facebook está fazendo, segundo o NYT, é reconstruir toda a infraestrutura subjacente para que as pessoas não saiam do ecossistema de apps da empresa. Para isso, a companhia colocou milhares de funcionários para reconfigurarem o WhatsApp, Instagram e Messenger em seus níveis mais básicos. 

E por que o Facebook faria isso, em primeiro lugar? O NYT sugere que ao integrá-los, a companhia busca aumentar a utilidade da rede social como um  todo, mantendo seus bilhões de usuários altamente engajados dentro do ecossistema. Dessa forma, usuários poderiam deixar de lado serviços de empresas rivais, como iMessage, da Apple, e Hangouts, do Google. Ao mesmo tempo, ao interagir mais frequentemente com os apps do Facebook, a companhia também poderia construir seu negócio de publicidade ou ainda acrescentar novos serviços.

Ao NYT,  o Facebook se limitou ao dizer, em comunicado, que busca desenvolver as melhores experiências que pode, e que as pessoas querem que os serviços de mensagens sejam rápidos, simples e confiáveis e acrescentou: "Nós estamos trabalhando para fazer mais com os nossos produtos de mensagem criptografados de ponta a ponta e considerando formas de facilitar o acesso aos amigos e famílias através dessas redes". 

Novo golpe no WhatsApp usa PIS/Pasep como isca para enganar brasileiros

IDGNow em 25/01/2019

Criminosos estão usando novamente o WhatsApp para vitimar usuários no Brasil. Desta vez, a "isca" é a liberação do 7º lote do abono do PIS/Pasep. A fraude chama a atenção, pois oferece a possibilidade de consultar o direito ao benefício. Segundo a Dfndr lab, laboratório da empresa de cibersegurança que identificou a ação, o golpe já infectou os aparelhos de mais de 200 mil pessoas em pouco mais de 24 horas.  

Como age o golpe - Quando o usuário clica em um dos links, ele se deparará com uma página que informa um suposto valor disponível para ser resgatado: “PIS salarial pra quem trabalhou entre 2005 à 2018 no valor de R$ 1.223,20”. Na sequência, o usuário é incentivado a responder às seguintes perguntas: “Você trabalhou com carteira assinada entre 2005 a 2018?”; “Você está registrado atualmente?”; “Possui cartão cidadão para realizar o saque do benefício?”. 

Entretanto, a Psafe lembra que, independentemente das respostas, a pessoa é direcionada para uma página na qual é incentivada a compartilhar com 30 amigos ou grupos do WhatsApp. Além do compartilhamento em massa para atingir mais pessoas, a vítima é direcionada para uma página criada pelo criminoso, que ganha dinheiro ilegalmente por meio de publicidade.

“Esse golpe se aproveita de um tema muito importante para milhões de brasileiros e por isso o número de pessoas atingidas tende a ser cada vez maior”, comenta Emilio Simoni, diretor do dfndr lab. “É justamente por esse potencial de volume de acessos que o cibercriminoso direciona todos os que caem no golpe para uma página criada por ele. Esse volume de acessos gera dinheiro para ele por meio da publicidade. Contudo, o maior prejuízo é a desinformação de milhões de pessoas que precisam desse benefício e podem ser diretamente prejudicadas”, completou.  

Como se prevenir

Especialistas em cibersegurança sempre recomendam, antes de tudo, desconfiar dos links e mensagens recebidas no WhatsApp quando são de destinatários desconhecidos. Ao mesmo tempo, instituições financeiras como a Caixa Econômica Federal, entre outros bancos, não costumam enviar links e mensagens do gênero para seus correntistas. Além disso, caso o usuário ache o link suspeito, ele pode checar se o mesmo é legítimo neste verificador da dfndr lab.

Over 1 million Android users downloaded fake WhatsApp app

By Waqas on November 5, 2017 no site HackRead

Scammers tricked over 1 million Android users into downloading a fake version of the popular messaging app WhatsApp pretending to be the official one. The app, now deleted, was called “Update WhatsApp” available on official Google Play Store.

After being exposed, the developer of the fake app tried to trick users once again by renaming it to “Dual Whatsweb Update” before it was booted off from the Play Store. The app was exposed by a Reddit user who conducted a thorough research and indicated that millions of Android users were tricked into downloaded the malicious app.

A look at the app’s cache version shows it had 1,000,000 to 5,000,000 downloads while in the review section users complained that the app is fake and spamming their devices with ads. However, it also had 4,462 five star ratings which indicate that users should never trust an app’s rating.

Fake WhatsApp (Credit: Reddit and Google Play Store)

Although the app has been removed, it is unclear if it infected users with malware or only generated ads through spam. It, however, shows that Android users do not pay attention while downloading an app. That is why cybercriminals and scammers are always successful in targeting Android-based smartphones with malware and other online scams.

As for WhatsApp, this is not the first time when attackers have used the popular messaging app for malicious purposes. Previously, WhatsApp Gold version scam successfully targeted masses along with WhatsApp banking malware that infected Android devices to steal credit card and personal data.

As for Google Play Store’s security, nothing is shocking about a malicious app on Play Store. In fact, the Store is home to tons of malware infected and phony apps targeting users on daily bases. Therefore, Android users are urged not to download unnecessary apps from third-party websites or Google Play Store. Be vigilant and use a reliable mobile security product.

Perícia forense avança em recuperação de dados e conversas do WhatsApp

Por José Milagre

Em 15/12/2016 no site CIO

Como investigadores podem extrair informações úteis de uma das principais aplicações sociais existentes? O WhatsApp utiliza o protocolo XMPP para intercambiar dados pela Internet. Alguns trabalhos que se propõe a enfrentar o tema da perícia forense em WhatsApp são:

a) “Forensic Analysis of Instant Messenger Applications on Android Devices.” Mahajan, Aditya, M. S. Dahiya, and H. P. Sanghvi. (2013) O projeto aborda além de outros aspectos a extração de mensagens da memória RAM

b) WhatsApp Extract 2.0, desenvolvido por Francesco Picasso. Ferramenta que tem capacidade de desencriptar e organizar conteúdos de arquivos SQlite, organizando em um conteúdo HTML. A ferramenta explora O WhatsApp Database Encryption Project que detecta uma conhecida vulnerabilidade na implementação no Android da Criptografia AES

As aplicações Android são escritas em linguagem Java e o Android SDK compila o código em um arquivo .apk. Aplicações em android são normalmente instaladas em /data/data/nomedopacote. Quando um telefone com WhatsApp é ligado o processo “com.whatsapp” recebe um sinal para iniciar o acesso a mídia externa e os serviços de mensagem.

Todas as mensagens trocadas são armazenadas em msgstore.db e wa.db que são bancos de dados SQLite. A grande observação é que estes bancos são carregados na memória RAM do aparelho para maior performance. Este conteúdo pode persistir na RAM por mais tempo do que se imaginava.

Pesquisas demonstram que a menos que um processo de alta prioridade assuma a sobrescrição, a memória RAM funciona como uma verdadeira lixeira de dados e deve ser considerada em uma análise forense computacional envolvendo o comunicador WhatsApp.

O backup das conversas quando da troca de aparelho ou chip de dá no sdcard, mas via de regra o arquivo de mensagens fica criptografadas. O banco de dados de mensagens, em backup, é armazenado em /sdcard/WhatsApp/Databases/msgstore.db.crypt

O WhatsApp extract é um script em python que coletando um arquivo encriptado fornece um arquivo msgstore.plain.db como arquivo de saída, fazendo o mesmo com arquivos de mídia e fotos de perfil. Em alguns casos o backup dos dados do dispositivo para o SDCARD é feito diariamente e este conteúdo de mídia, ao contrário das mensagens, não é criptografado.

Interessante é que a tabela de mensagens msgstore.db possui campos “media_url”, “received_timestamp”, “send_timestamp”, “latitude” e “longitude”, o que nos sugere que a aplicação armazena dados de conexão dos remetentes, um identificador único para cada mídia que entra na rede do aplicativo (o que poderia ser usado para bloquear ou rastrear conteúdos ilícitos) e até coordenadas GPS de mensagens.

Para coleta de memória de dispositivos cujo o escopo é investigar conversações WhatsApp, utiliza-se o utilitário Lime, que geram um dump da RAM do dispositivo. Também é possível usar o Volatility ou Memfetch para analisar somente a memória pertinente ao processo WhatsApp.

Após a coleta da memória, pesquisadores propõem o uso de uma ferramenta denominada whatsappRamExtract (THAKUR, 2013) um bash script que cava evidências uteis de um binário de memória. O script pode recuperar números usados no equipamento e até mesmo troca de mensagens, embora qualquer coletador de strings da memória também possa recuperar estes dados. É possível buscar por padrões de strings “@s.whatsapp.net”, e os números telefônicos estarão antes da arroba.

A ferramenta Scalpel por sua vez pode ser usada para coletar medias deletadas mas que passaram pela memória. A conclusão é que atualmente, se um chat é limpo ou uma mensagem é deletada ela é imediatamente limpa da aplicação, mas não completamente limpa da memória.

Assim, as pesquisas atualmente focam suas atividades em mapear quais os dados são recuperados de um disco de um dispositivo sem e com root, da memória persistente, sem e com root, do SDCARD e de dados da memória volátil.

Quanto às tentativas de quebrar a criptografia dos arquivos de dados, alguns artigos informam que o arquivo de chave “key”, embora armazenado em userdata/data/сom.whatsapp/files/ somente em alguns casos poderia ser extraído de dispositivos “rootados”. Atualmente não existem descrições públicas revelando a quebra da criptografia sem o key file.

Para este problema, pesquisadores sugerem a engenharia reversa no WhatsApp para compreender o algoritimo de encriptação. Outros ainda recomendam o uso de mainframes ou nuvem para ataques de brutal force no arquivo criptográfico o que é apontado como uma solução muito cara e inviável (SKULKIN, 2015)

Assim, diante das limitações, a memória volátil passa a ser um artefato de total interesse, no estudo de padrões deixados pelo App na busca de dados excluídos pelos investigados. Percebe-se, como visto, que muitos conteúdos que integram arquivos de bancos de dados do aplicativo, armazenados na memória persistente, se limpos ou excluídos, podem ser encontrados na memória volátil, incluindo contados, mensagens, números telefônicos e em alguns casos, mídias, fotos e vídeos que foram enviados e recebidos.

Referências:

CORTJENS, D.; SPRUYT, A.; WIERINGA, F. C. WhatsApp Database Encryption Project Report. Acesso em 13. dez. 2016.

SKULKIN, Oleg. DECRYPTING ENCRYPTED WHATSAPP DATABASES WITHOUT THE KEY. Disponível em:<https://www.digitalforensicscorp.com/blog/decrypting-encrypted-whatsapp-databases-without-the-key/>. Acesso em 13. dez. 2016.

TAHAKUR, Neha S. Forensic Analysis of WhatsApp on Android Smartphones. Disponível em:< http://scholarworks.uno.edu/cgi/viewcontent.cgiarticle=2736&context=td> Acesso em 13.dez. 2016.

Zena Forensics “WhatsAppXtract 2012” [Online]. Disponível em: <http://code.google.com/p/hotoloti/downloads/list>. Acesso em 13. dez. 2016.

MAHAJAN, Aditya; DAHIYA, M. S.; SANGHVI, H. P. Forensic Analysis of Instant Messenger Applications on Android Devices. arXiv preprint arXiv:1304.4915 (2013). Acesso em 13. dez. 2016

Golpe no WhatsApp engana 2 milhões ao prometer tema de times de futebol

Por Redação Idgnow

Em 01/05/2017.

Um novo golpe no WhatsApp já enganou mais de 2 milhões de brasileiros com a falsa promessa de personalizar o aplicativo de mensagens com as cores dos principais times de futebol do país. 

Segundo informações da empresa de Psafe, a ameaça já afetou torcedores de 15 clubes de diferentes estados do Brasil, incluindo mais de 400 mil torcedores do Flamengo, 382 mil do Palmeiras e 358 mil do Corinthians. 

Como funciona

As vítimas do golpe costumam receber mensagens de contatos conhecidos ou de algum grupo do WhatsApp com um convite para clicar no anúncio da promoção, que promete personalizar a plataforma com o tema do seu time do coração.

Após clicar no link relacionado ao seu clube, o usuário é direcionado para uma página na qual deve compartilhar o suposto serviço com oito amigos ou dez grupos via WhatsApp, além de também ser induzido a preencher seus dados em serviço de SMS pago para, só então, poder baixar o falso pacote de personalização, conforme explicado pela Psafe.

Esse é apenas o mais recente golpe disseminado pelo WhatsApp, que possui mais de 100 milhões de usuários no Brasil e virou uma plataforma chave para os cibercriminosos no país. Não por acaso, o aplicativo lançou recentemente um guia para ajudar os usuários a se protegerem de informações e notícias falsas.

Sim, seu WhatsApp é (ou pode ser) vulnerável

Por Filipe Vilicic em 20/03/2017

No site Veja.com.br

Para começar, um esclarecimento. Desde que, no início deste mês (dia 7, para ser exato), o WikiLeaks alegou que a CIA havia descoberto como hackear dois populares apps de mensagens, o Signal e o WhatsApp, começaram a me perguntar por aí: “Vilicic, meu WhatsApp tá comprometido?”. A resposta, contudo, é complexa. Como na computação quântica, ela é duas em uma só: sim e não.

Comecemos com a boa notícia: “não”. Pois essa história se espalhou de forma errada pelas redes sociais. O que a CIA fez não foi quebrar a criptografia ponta-a-ponta desses serviços – ou ao menos não é o que revelam os documentos já vazados pelo WikiLeaks. O que se descobriu é que a agência de espionagem é dotada de métodos capazes de comprometer sistemas operacionais de smartphones, como o IOS (da Apple) e o Android (do Google), tablets, ou mesmo SmarTVs. Após invadirem esses gadgets, acessariam as mensagens de WhatsApp, pela tela do aparelho.

Só que aí tem a outra resposta: “sim, seu WhatsApp (ou o aparelho que o roda) pode ter falhas”. Explico. Primeiro, vale avisar que as técnicas reveladas pela CIA não são tão inovadoras. Elas já eram conhecidas por hackers e outros especialistas do meio, inclusive no Brasil. No ano passado – quando a equipe de Tecnologia de VEJA, da qual sou editor, publicou uma reportagem sobre como bandidos brasileiros, como traficantes de drogas e pedófilos, usufruíam do serviço para driblar investigações policiais –, experts já haviam me exibido como poderiam invadir um iPhone e, com isso, capturar as mensagens de WhatsApp que estão armazenadas nele. Logo, cuidado: se derem um jeito de entrar no seu celular, podem ver tudo que foi feito nele. Há, entretanto, um segundo ponto, um pouco mais complexo (apesar de simples de entender). Trata-se de uma máxima da computação: todo sistema possui falhas.

Pode ser que ainda não tenham descoberto uma brecha na criptografia ponta-a-ponta do Signal e do WhatsApp? Sim. Pode ser que tenham descoberto uma brecha na criptografia ponta-a-ponta do Signal e do WhatsApp? Sim. Talvez a CIA. Ainda não se tem uma resposta precisa. O que é certo é que qualquer software, hardware, servidor, conta com brechas (já identificadas, ou não). Não há como ele ser desenvolvido de forma infalível, pois aí fugiria do total controle de seus próprios criadores. Visto isso, no mínimo é questão de tempo até que esses apps sejam comprometidos; o que certamente terá, como consequência, o aprimoramento de seu protocolo de segurança; o que levará hackers a descobrir novas falhas; e o ciclo se repetirá, como sempre foi no ramo da computação.

No subtítulo deste texto, disse que esse caso tem potencial de afetar a Justiça. Pelo menos (e o que mais nos importa por aqui), a brasileira. Como? Já vem desde 2015 a batalha de investigadores e juízes contra o Facebook, dono do WhatsApp, no Brasil. De um lado, as autoridades alegam que está na lei que a empresa teria de colaborar com as operações policiais, fornecendo dados guardados de seus usuários – claro, quando esses são alvo de investigações (reportagem de VEJA revelou até o uso pelo PCC para comprar armas e encomendar assassinatos). Na outra ponta, o Facebook / WhatsApp alega que não pode comprometer seu sistema de criptografia e, por isso, se recusa a auxiliar. Por incrível que possa parecer, mais uma vez a resposta flerta com a quântica: é “sim” e “não” ao mesmo tempo. Ambos os lados têm razão. E ambos estão equivocados.

A razão da Justiça está em exigir que as empresas tomem alguma atitude para impedir o uso dessas plataformas pelos delinquentes. Só que se erra quando se cogita a possibilidade de fornecer recursos às autoridades que permitam o acesso direto e irrestrito aos dados dos suspeitos de crimes. Do outro lado, o WhatsApp está corretíssimo em não querer comprometer seus usuários honestos. Entretanto, derrapa ao não buscar por uma solução interna que permita que se disponibilize as informações daqueles clientes que se apoiam justamente na segurança do software para cometer os delitos. Em resumo: a própria empresa poderia (como já fazem companhias como o Google, em casos específicos) coletar esses dados, afetando apenas contas pontuais (não todos os cadastrados), e enviá-los aos investigadores; sem ter de, para isso, criar brechas públicas de seus sistema.

Ou seja, para o Brasil, o que o caso do WikiLeaks indica é que pode existir uma solução, um meio-termo, para essa peleja. Uma que já afetou milhões de brasileiros, quando o app chegou a ser bloqueado (numa medida extrema e exagerada, é verdade; mas é necessário que exista alguma forma de punição, e deveria ser outra) no país, por repetidas vezes, em efeito de seu dono não ter contribuído com a Justiça.

Em tempo: vale frisar, ainda, que é claro que sou a favor de manter a privacidade de nossos dados digitais; contudo, num exercício da mais simples lógica, compreendo que agências de espionagem, como a CIA, precisam – olha o óbvio – espionar (até para evitar que hackers com metas mais obscuras, para dizer o mínimo, executem o mesmo). E ambas as coisas devem conviver, em harmonia.

Mas como eu, pessoa honesta com um WhatsApp, vou me proteger da CIA? Para começar, pergunte-se: a CIA (ou qualquer um) teria mesmo interesse em ler suas mensagens? Para a maioria, a resposta é um categórico “não”. Se mesmo assim está preocupado, a dica de segurança é bem fácil de ser executada. Não diga na internet o que possa te comprometer – ou o que não quer que um dia vire público. É o mesmo raciocínio que deve ser aplicado aos tão amados (por alguns, quando se recebe no “privado”), quanto temidos (a partir do momento em que há um vazamento), nudes. Já ouvi o seguinte: “Será que vou me ferrar por trocar nudes? Como faço para não vazar, pois ouvi de uma amiga que dançou por isso, foi até chantageada pelo hacker?” A resposta: “Se não quer correr o risco, não faça”.

Para acompanhar este blog, siga-me no Twitter, em @FilipeVilicic, e no Facebook.