Компания Check Point обнаружила уязвимость, из-за которой хакерам удалось завладеть данными миллионов учетных записей в WhatsApp и Telegram.
Хакеры взломали миллионы учетных записей в WhatsApp и Telegram
Одна из самых тревожных новостей, опубликованных на WikiLeaks о том, что у правительственных организаций может появиться доступ к данным пользователей таких мессенджеров, как WhatsApp и Telegram. Хотя это еще не доказано, многие конечные пользователи уже обеспокоены, ведь WhatsApp и Telegram для обеспечения конфиденциальности применяют сквозное шифрование. Сквозное шифрование создано для того, чтобы никто не мог прочитать сообщений, кроме самих участников.
Однако в онлайновых платформах WhatsApp Web и Telegram Web, где используется тот же механизм шифрования, уже замечена серьезная уязвимость. Онлайновая версия этих платформ зеркально отражает все сообщения, которые абонент отправляет и получает, и полностью синхронизируется с устройством пользователя.
Demo of WhatsApp Web Account Takeover | Hacking Demonstration
Как взламывают Whatsapp (и не только)
Demo of Telegram Web Account Takeover | Hack Demonstration | Cyber Security
Эта уязвимость в случае использования позволит злоумышленникам завладеть учетными записями пользователей в любом браузере и получить доступ к личным и групповым беседам, фотографиям, видеозаписям и другим общим файлам, спискам контактов и другим данным. Это означает, что у других есть возможность загружать ваши фотографии и размещать их в интернете, отправлять сообщения от вашего имени, требовать выкуп и даже иметь контроль над учетными записями ваших друзей.
Примеры уязвимостей WhatsApp и Telegram
Использование этой уязвимости начинается с того, что взломщик отправляет жертве безобидный на вид файл, содержащий вредоносный код.
Файл может содержать привлекательный контент, а это повышает вероятность, что адресат его откроет. В то время, как пользователь WhatsApp щелкает на файл, чтобы открыть изображение, вредоносный файл предоставляет злоумышленнику возможность доступа к локальному хранилищу с данными пользователя. Пользователь Telegram должен щелкнуть еще раз, чтобы открыть новую вкладку и так предоставить доступ к локальному хранилищу. С этого момента злоумышленник может получить полный контроль над учетной записью и данными. Отправив файл другим контактам пользователя, хакер способен осуществить масштабную атаку в сетях WhatsApp и Telegram.
Поскольку сообщения зашифровываются без предварительной проверки, WhatsApp и Telegram не могут видеть из содержимое и предотвратить отправку опасного кода.
Check Point предоставила эту информацию службам, отвечающим за безопасность WhatsApp и Telegram 7 марта. Обе компании после проверки признали проблемы безопасности и вскоре разработали исправление для веб-клиентов. «К счастью, WhatsApp и Telegram быстро отреагировали и приняли соответствующие меры для безопасности веб-клиентов», — сказал Одед Вануну, директор исследовательского отдела Check Point. Пользователям рекомендуется перезапустить свой браузер, чтобы использовать последнюю версию WhatsApp и Telegram.
В новых версиях с патчем от этой уязвимости сообщение сначала проверяется на наличие вредоносного файла, только потом зашифровывается.
Советы по безопасности от Check Point
Хотя WhatsApp и Telegram исправили уязвимость, Check Point рекомендует применять следующие превентивные меры:
Периодически выходите из WhatsApp и Telegram на всех устройствах. Это позволит вам управлять устройствами с вашей учетной записью и завершать нежелательные действия.
Не открывайте подозрительные файлы и ссылки от неизвестных источников.
WhatsApp насчитывает более 1 миллиарда пользователей по всему миру, что делает его самой распространенной службой для отправки мгновенных сообщений. Веб-версия доступна на всех браузерах и поддерживаемых платформах, включая Android, iPhone (IOS), Windows Phone 8. x, BlackBerry, BB10 и смартфоны Nokia.
У службы Telegram более 100 миллионов активных пользователей, которые отправляют больше 15 миллиардов сообщений ежедневно. Это облачное мобильное и веб-приложение для обмена сообщениями, основными преимуществами которого по заявлениям разработчиков являются безопасность и скорость.
В сентябре команда Check Point 2015 года нашла другую уязвимость в веб-версии WhatsApp. Хакеры имели возможность посылать пользователям на вид неопасную электронную визитку с вредоносным кодом. Компания WhatsApp исправила погрешность в безопасности.
Технические подробности Whatsapp
WhatsApp поддерживает загрузку нескольких типов документов, включая офисные, PDF, аудиофайлы, видео и изображения.
Файлы поддерживаемых форматов можно загрузить и отправить клиентам WhatsApp как вложение.
Но исследовательской группе удалось обойти ограничения, и они смогли загрузить документ HTML с изображением для предварительного просмотра, что может обмануть жертву и побудить получателя открыть файл с кодом.
После того как получатель щелкает на документе, веб-клиент WhatsApp запускает FileReader HTML 5 API, который генерирует уникальный BLOB URL с содержимым файла отправителя и переходит по этому адресу.
Атака на WhatsApp состоит из нескольких этапов, которые описываются ниже.
Сначала злоумышленник создает вредоносный файл HTML с изображением для предварительного просмотра:
Хакеры взломали миллионы учетных записей в WhatsApp и Telegram
Веб-клиент WhatsApp хранит разрешенные типы файлов в клиентской переменной с именем W [«default«]. DOC_MIMES. Эта переменная хранит разрешенные MIME-типы, используемые приложением.
Так как зашифрованный файл отправляется на серверы WhatsApp, в переменную можно добавить новый MIME-тип, такой как «text/html», чтобы обойти ограничение клиента и загрузить вредоносный документ HTML.
После добавления вредоносного документа Mime-типа в клиентскую переменную, клиент шифрует содержимое файла с помощью функции encryptE2Media, затем загружает его в виде BLOB на сервер WhatsApp.
Кроме того, изменение имени и расширения документа, а также создание фейкового превью путем изменения клиентских переменных делают вредоносный файл более привлекательным и легитимным для жертвы.
После того как получатель нажимает на файл, он видит изображение котенка под блоб-объектом, который и есть объектом html5 FileReader на web.whatsapp.com. Это означает, что хакер получает доступ к ресурсам в браузере, хранящихся на web.whatsapp.com
Даже если только просматривать страницу и ничего не нажимать, данные из местного хранилища пользователя будут отправлены злоумышленнику, что позволит ему получить доступ к учетной записи.
Хакер вписывает функцию JavaScript, которая с периодичностью в 2 секунды проверяет, нет ли новых данных в бэкенде, и заменяет их в локальном хранилище жертвы.
Часть кода злоумышленника:
Хакер перенаправляется к учетной записи жертвы и получает доступ к любым данным.
Веб-клиент WhatsApp не разрешает пользователю иметь более одного активного сеанса одновременно. Поэтому после того как взломщик возьмет контроль над аккаунтом, жертва получит сообщение:
Злоумышленник может преодолеть эту проблему, добавив код JavaScript:
Вредоносный HTML-файл приведет к зависанию окна браузера клиента и позволит злоумышленнику управлять учетной записью без помех. Злоумышленник будет подключен к учетной записи жертвы до тех пор, пока жертва не выйдет из учетной записи. При закрытии браузера злоумышленник не выйдет из аккаунта и может дальше пользоваться учетной записью жертвы.
Технические подробности Telegram
Веб-клиент Telegram способен отправлять различные типы документов, и только изображения и видео хранятся в файловой системе браузера.
Исследователи из Check Point также сумели обойти политику клиента и загрузили вредоносный документ HTML, применив MIME-тип видеофайла “video/mp4”. После этого у них получилось отправить файл жертве через зашифрованный канал на серверы Telegram. Пользователь открывает видео в новой вкладке браузера, файл воспроизводится, и данные о его сеансе отправляются злоумышленнику.
Атака на Telegram состоит из нескольких, описываемых ниже этапов.
Хакер сначала создает вредоносный файл HTML с видеоданными.
Telegram хранит MIME-тип файла в качестве объекта «t» и во время загрузки проверяет, является ли MIME-тип изображением или видео. Если да, файл хранится под URI файловой системы клиента.
Поскольку зашифрованный файл отправляется на серверы Telegram, можно изменить тип MIME на «video/mp4», для того, чтобы обойти ограничения по загрузке и отправить вредоносный HTML-документ в Telegram как видео.
После изменения MIME-типа, клиент отправляет зашифрованный файл на сервер Telegram.
В результате получается файл, замаскированный под видео, но с вредоносной начинкой:
Как только пользователь воспроизводит видео, HTML-файл загружается в память браузера под web.telegram.org. Пользователю нужно открыть видео в новой вкладке, чтобы получить доступ к ресурсу в браузере по URI файловой системы в URI web.telegram.org.
Во время просмотра видео данные из локального хранилища жертвы отправляются злоумышленнику, что позволит ему получить контроль над учетной записью.
С этой целью злоумышленник применяет функцию JavaScript, которая через каждые 2 секунды проверяет, нет ли новых данных в бэкенде, и заменяет локальное хранилище, как это видно из фрагментов кода WhatsApp POC.
Хакер перенаправляется к учетной записи жертвы и получает доступ к любым данным.
Пользователь не подозревает о взломе его учетной записи, потому что Telegram разрешает проводить неограниченное количество сеансов одновременно.
Источник: bookflow.ru
Как читать переписки другого контакта в WhatsApp без его телефона
Существует множество причин, которые вынуждают пользователей искать варианты взлома чужой переписки в месседжах. Прочитать Ватсап другого человека без доступа к его телефону сложно, но возможно. Соблюдайте последовательность действий и знайте об особенностях.
Способы читать WhatsApp другого абонента удаленно
Чтобы прочитать переписку в Ватсапе другого абонента зная номер телефона соблюдайте четкую последовательность действий. Инструкция зависит от установленной ОС на смартфоне либо планшете.
На Андроиде
Изначально понимайте, что читать сообщения чужого человека в Ватсапе вполне реально. Для этого требуется использовать дополнительное программное обеспечение. При этом не стоит забывать о необходимости обеспечить доступ к гаджету «жертвы» на несколько минут. Последовательность действий включает в себя несколько этапов:
- Перейдите в официальный магазин приложений Play Market.
- На следующем этапе через поисковую строку выполняется поиск приложения Whatscan для WhatsApp.
- Скачивание с последующей установкой утилиты на используемое устройство.
Обратите внимание, сложность процедуры заключается в необходимости выполнить сканирование уникального кода со взламываемого смартфона. Однако сделать это важно максимально быстро – кодовое обозначение меняется каждую минуту. Сразу после этого у пользователя появляется возможность просматривать не только текстовые сообщения чужого человека, но и изучать фото, видео, документы.
На Айфоне
Для устройств, которые функционируют под управлением iOS, разработаны альтернативные утилиты, как в случае с Андроид. Последовательность действий включает в себя несколько этапов:
- Изначально выполняется переход в магазин утилит App Store.
- В поисковой строке указывается WhatsApp шпион/ слежка.
- Загрузка на используемое устройство с последующей установкой.
- После запуска достаточно придерживаться всплывающих подсказок.
Обратите внимание, разработчики компании Apple сумел внедрить современную систему безопасности. Поэтому во время функционирования мобильного приложения могут возникать сбои в работе. Дополнительно может потребоваться автоматическо обновление системы, в противном случае есть риски запрета на использование шпионского программного обеспечения.
Через компьютер
Оптимальным решением станет чтение чужих месседжей через персональный компьютер. Благодаря этому создается имитация переноса Ватсап на другой мобильный телефон. Для этого предусматривается несколько вариантов действий.
Процедура взлома предусматривает использование вредоносного программного обеспечения. Такой метод был разработан непосредственными разработчиками Ватсап. Не так давно было выпущено браузерную версию, позволяющая организовать связь для максимального удобства пользования.
К сведению: чтобы использовать утилиту, предварительно получите доступ к взламываемому мобильному телефону на несколько минут.
Последовательность действий включает в себя:
- Изначально открывается установленный по умолчанию браузер на компьютере.
- Далее требуется проставить отметку возле строки оставаться в системе.
- В мобильном приложении жертвы ставится отметка возле WhatsApp Web.
- Во вновь открывшейся форме на компьютере отображается код для сканирования.
Сразу после этого имеющаяся история переписки, в том числе фото и видео, автоматически открываются на персональном компьютере. Их не только можно читать, но и самостоятельно отправлять сообщения.
В качестве недостатка принято выделять то, что в случае перехода в раздел WhatsApp Web, полноправному собственнику станет известно и «шпионаже» с персонального компьютера. Однако большая часть пользователей этого не делает, поэтому ничего не подозревают. Следует заметить, что доступ к профилю приложения, включая изучение информации о переписке, звонках, доступно исключительно при активном доступе к интернету.
Пользователи, которые хотят себя обезопасить, должны установить любое антивирусное программное обеспечение. Этого вполне достаточно, чтобы исключить слежку.
Как подключить WhatsApp другого человека к своему телефону
Получение переписки на электронную почту считается оптимальным и практичным способом. Метод является решением для тех, кто по разным на то причинам не в состоянии временно воспользоваться взламываемым телефоном. Чтобы инициировать подключение потратьте не больше 15 секунд свободного времени. В качестве недостатка выделяют получение исключительно архива истории сообщений и медиафайлов. Последовательность действий включает в себя несколько этапов:
- Мобильное приложение запускается на взламываемом телефоне.
- Открытие интересующего диалога.
- Нажатие на перечень функций из раздела «Еще».
- Активация опции отправки чата по электронной почте.
- После этого требуется из предложенных вариантов выбрать тип сообщений: текстовый либо медиа.
- Ввод в специально отведенное поле адреса электронной почты.
- Нажатие клавиши отправить.
В дальнейшем мобильное приложение в автоматическом режиме отправляет переписку п указанному адресу электронной почты.
Последствия несанкционированного доступа к чужой переписке
В соответствии с нормами федерального законодательства РФ, при выявлении факта неправомерного доступа к чужой переписки, виновнику грозит:
- административная ответственность в виде штрафа до 80 тысяч рублей;
- исправительные работы на срок до 12 месяцев.
Если чтение чужой переписки повлекло за собой определенные последствия, может наступить уголовная ответственность в виде лишения свободы на установленный срок. Однако такая мера наказания не практикуется. В большинстве случаев правонарушитель будет вынужден уплатить штраф. Повторное наказание предусматривает штрафные санкции в размере 6-месячного дохода.
Источник: whatsapp-wiki.ru
Перехват сообщений WhatsApp: как читать чужую переписку в WhatsApp
Наглый перехват сообщений в WhatsApp — это абсур д, совершенно бесполезная вещь. То ест ь представить ситуацию , что вы «перехватываете» сообщения WhatsApp, в то время когда двое людей переписываются — это совершенно бесполезная штука. И бойтесь тех, кто утверждает, что может так сделать. В целом, перехватить переписку WhatsApp можно, но вы с ней ничего не сделаете.
WhatsApp — это достаточно популярный мессенджер, за работой которого следит компания Meta (раньше называлась Facebook). Мессенджер использует сквозное шифрование, а это значит, что все передаваемые сообщения зашифрованы. То ест ь передающий телефон шифрует сообщение, а получающий телефон расшифровывает сообщение. Таким образом, если перехватить сообщения WhatsApp в момент передачи с другого устройства (допустим , телефона), кроме зашифрованного набора символов вы ничего не увидите. Расшифровать зашифрованное сообщение в домашних условиях нереально, так как на это понадобятся годы. А за это время расшифровываемая переписка станет неактуальной.
С теоретической стороны, организовать перехват Ватсап сообщений без доступа к телефону можно. Также можно расшифровать перехваченное сообщение. Но для этого нужно обладать мощнейшим оборудованием, мощнейшими знаниями и неограниченным количеством времени. Поэтому на практике, такое мероприятие вряд ли кто-то делает в частном порядке. В каких-нибудь государственных масштабах все может быть. Поэтому, если встречаете в сети объявления типа «Перехват сообщений WhatsApp за 1000 рублей», знайте, что это мошенники. Если бы они даже действительно перехватывали и расшифровывали сообщения WhatsApp, тогда это стоило бы очень больших денег.
Но что делать, когда очень нужно или очень хочется перехватить и прочитать переписку WhatsApp? Можно попробовать «схитрить». Как это сделать, мы чуть ниже опишем. Но это не взлом и не перехват сообщений в момент их передачи.
Перехват сообщений WhatsApp
- Этические нормы. О том, что вы читаете чужую переписку, рано или поздно станет известно. Раз вы пытаетесь ее прочитать, значит , вы что-то хотите знать о человеке и , скорее всего , в чем-то подозреваете. Получив искомую информацию и уличив человека в чем-то, вы не сможете молчать. Поэтому подумайте о том, как вы себя будете чувствовать, когда вокруг все узнают, что вы тайком читаете чужие переписки.
- Законодательство. Хоть оно и не всегда работает, как хотелось бы, но нужно знать, что личная жизнь и конфиденциальность защищены законом. Поэтому, когда все вокруг узнают, что вы незаконно читает е чужую переписку в WhatsApp, есть риск , что вам придется за это отвечать перед законом. Ведь на вас могут подать в суд. И за такое действие вы можете получать реальный тюремный срок.
Как осуществить перехват сообщений в WhatsApp: несколько способов
Чуть выше мы писали, что WhatsApp использует сквозное шифрование, а это значит , что сообщения передаются зашифрованными. Из этого следует, что в момент их передачи перехватывать нет смысла, так как вы их не сможете расшифровать. А незашифрованными сообщения будут-то на телефоне. Поэтому перехват Ватсап-сообщений без доступа к чужому телефону невозможен.
Чтобы читать чужую переписку в WhatsApp, вам обязательно нужен доступ к чужому телефону, хотя бы на пару минут. И тут речь не идет о том, что можно просто взять чужой телефон и прочитать в нем переписку — об этом знают все и это очень просто и понятно. Чужой телефон нужен для того, чтобы совершить с ним определенные манипуляции.
Если вы можете обеспечить себе доступ к чужому телефону на минут 5, тогда перед вами открыва ю тся два способа.
Как перехватить переписку WhatsApp с помощью компьютера или ноутбука
- Вы скачиваете на свой компьютер или ноутбук веб-версию программы WhatsApp.
- В качестве номера телефона в скачанной и установленной программе, вы определяете номер телефона, за которым хотите следить.
- Потом вам нужен чужой телефон, за которым вы хотите следить, чтобы подтвердить синхронизацию между вашим устройством и этим телефоном. Для синхронизации нужно будет открыть WhatsApp на телефоне и при помощи специального пункта в программе просканировать QR-код Ватсапа на вашем компьютере.
Как перехватить переписку WhatsApp с помощью сторонних программ
- Вам нужно получить доступ к телефону, за которым вы хотите следить.
- На этот телефон вы устанавливаете специальную «шпионскую программу», которая будет следить за всеми действиями на этом телефоне.
- Налаживаете синхронизацию чужого телефона со своим и наслаждаетесь шпионажем.