WhatsApp e Telegram, grave vulnerabilità sul web

I ricercatori di Check Point hanno scoperto una grave vulnerabilità in WhatsApp Web e Telegram Web, le versioni dei servizi di messaggistica accessibili tramite browser. Un malintenzionato può ottenere il controllo totale dell’account attraverso un malware nascosto all’interno di immagini e video. La software house ha segnalato il problema lo scorso 7 marzo e, in meno di una settimana, WhatsApp e Telegram hanno aggiornato i rispettivi client web, eliminando il pericoloso bug.

La vulnerabilità potrebbe consentire l’accesso agli account delle vittime, alle conversazioni, ai contatti e a tutti i file condivisi. In pratica, il legittimo proprietario perde il controllo del suo account e il malintenzionato può eseguire qualsiasi azione, inclusa la diffusione del malware tra i suoi amici. Spesso gli utenti dei due servizi di messaggistica cliccano su immagini e video senza prestare molta attenzione al mittente, quindi è piuttosto semplice accedere allo storage locale dove i dati vengono memorizzati.

Per aggirare la funzionalità di WhatsApp che permette di inviare vari tipi di file, i ricercatori di Check Point hanno nascosto il codice infetto nell’anteprima di un’immagine. Quando l’utente clicca sulla miniatura, il contenuto dello storage locale viene inviato ad un server remoto e il malintenzionato ottiene l’accesso all’account. Il controllo remoto rimane attivo anche se l’utente chiude il browser, senza effettuare il logout.

Gli utenti Telegram possono essere invece ingannati con un video. Il meccanismo è simile a quello di WhatsApp, ma in questo caso è necessario aprire il video in un’altra scheda del browser. A differenza di WhatsApp, Telegram supporta sessioni multiple, quindi l’utente non vedrà l’avviso che l’accesso al servizio è avvenuto da un altro computer o browser.

Le nuove versioni del client web effettuano ora una validazione preliminare dei contenuti (prima di applicare la crittografia), quindi bloccano eventuali malware nascosti in foto e video.