No marco da Conferencia Dragonjar, o Arxentino Marcelo Romero expuxo unha vulnerabilidade nos servizos de mensaxería instantánea que permite interceptar mensaxes en tempo real e obter Datos privados.
Marcelo Romero é un arxentino que está moi ligado aos temas forenses, especialmente nos dispositivos móbiles. Presentou un chat en EkoTarty 2017 nun bypass á placa de PCB de dispositivos móbiles, podendo entrar na memoria MMC sen necesidade de transformalos. Unha técnica que se usa para expertos forenses, pero que tamén se pode empregar para facer ataques a estes dispositivos.
Fonte: ekoparty.org
Este ano, en Dragonjar Security Conference, deu unha conversa sobre como interceptar mensaxes de aplicación de mensaxería instantánea, específicamente WhatsApp e Telegram.
En palabras sinxelas, o que Romero logrou foi asociar dous dispositivos á mesma conta, permitindo mensaxes tanto no dispositivo orixinal como no clon. Claramente, para iso ten que ter acceso físico ao teléfono, para poder realizar o clon. No nivel de espionaje, é relativamente fácil de tomar o dispositivo dunha persoa, sacar unha imaxe, comezar nunha máquina virtual, facer que a forza bruta sexa o patrón e poida introducir as aplicacións. Unha vez que se realice todo este proceso, explotando a debilidade atopada, hai os dous dispositivos (o orixinal e o clon) asociados á mesma conta, polo tanto, cando se recibe unha mensaxe ou unha chamada, os dous dispositivos reciben.
Na manifestación poderiamos ver que un teléfono móbil X enviado a unha mensaxe ou unha chamada usando WhatsApp e Telegram a un teléfono móbil e, mentres e recibe a chamada e a mensaxe, poderiamos ver que nun dispositivo clonado chamado Z exactamente o mesmo que no receptor e.
Falamos con Marcelo logo da súa presentación e isto foi o que nos dixo:
Tamén comentou que para o telegrama, esta duplicación de identidade dura Aproximadamente dúas horas, entón a conta está bloqueada, pola contra, este problema non ocorre en WhatsApp.
Máis aló de chamadas e mensaxes, era posible acceder a outras informacións, como por exemplo, a información sobre A conta. É posible solicitar a nosa historia e comportamento, e isto pódese facer a través do clon. A opción chámase “Solicitude de información sobre a túa conta”
Ao momento de facer esta aplicación, non é validada correctamente por WhatsApp, permitindo o acceso á información da conta orixinal. Neste informe pode atopar a última localización do dispositivo, a foto do perfil, as estatísticas da mensaxe e a mellor lista de contactos.
Marcelo en Dragonjar Conference 2018