Actualités à la une

Culture: L'exploit de manipulation de chat de WhatsApp reste non résolu même après un an

L’exploit de Zapata en 10 photos ébouriffantes

L’exploit de Zapata en 10 photos ébouriffantes L’exploit de Zapata en 10 photos ébouriffantes

WhatsApp’s chat manipulation exploit remains unresolved even after a year © fourni par The Next Web

Les vulnérabilités découvertes dans WhatsApp - l'application de messagerie utilisée par environ 1,5 milliard d'utilisateurs à travers le monde - peuvent permettre à de mauvais acteurs d'exploiter la plateforme pour manipuler ou usurper le chat messages.

Les failles permettraient «d'intercepter et de manipuler des messages envoyés dans des conversations privées et de groupe, donnant aux attaquants le pouvoir de créer et de diffuser des informations erronées à partir de ce qui semble être des sources fiables», ont noté les chercheurs.

Les détails des vulnérabilités ont été divulgués par la société de cybersécurité israélienne Checkpoint Research lors de la conférence de sécurité Black Hat 2019 à Las Vegas le 7 août.

Facebook possède Instagram et WhatsApp et prévoit de rendre cela évident

 Facebook possède Instagram et WhatsApp et prévoit de rendre cela évident © Fourni par CBS Interactive Inc. Facebook a déclaré vendredi qu'il prévoyait de renommer Instagram et WhatsApp. Angela Lang / CNET Facebook prévoit de renommer Instagram et WhatsApp afin que les utilisateurs sachent qu'ils proviennent du réseau social, une décision qui met en évidence la façon dont la société exerce plus de contrôle sur ses acquisitions. Les applications indiqueront «Instagram de Facebook» et «WhatsApp de Facebook».

Checkpoint, en particulier, note trois types de tactiques d'ingénierie sociale:

Manipuler la fonction de citation de WhatsApp pour la faire ressembler quelqu'un avait écrit quelque chose qu'il n'avait pas écrit. Modifier et reformuler le texte de la réponse de l'utilisateur, «mettant ainsi des mots dans leur bouche». Incitez les utilisateurs à envoyer un message privé à une personne, alors qu'en réalité leur réponse est allée à un groupe WhatsApp plus public.

Les chercheurs ont déclaré avoir alerté WhatsApp des failles en août de l'année dernière et que la société n'avait corrigé que la troisième vulnérabilité. Mais ils ont ajouté que les deux autres restent exploitables à ce jour et pourraient être potentiellement mal utilisés par des cybercriminels à des fins malveillantes.

WhatsApp lancera un service de paiement numérique en Inde

 WhatsApp lancera un service de paiement numérique en Inde © ARUN SANKAR / AFP Une fois son service de paiement lancé, WhatsApp sera en concurrence avec les sociétés de paiement numérique locales Paytm et Phonepe et des géants mondiaux comme Amazon Pay et Google Pay. Le géant de la messagerie , WhatsApp, prévoit de lancer son premier service de paiement cette année en Inde, son plus grand marché avec 400 millions d'utilisateurs, a annoncé vendredi la société.

WhatsApp a refusé de commenter.

Briser la barrière du cryptage

WhatsApp reste l'une des plateformes de messagerie les plus populaires, y compris des pays comme l'Inde où elle est utilisée par plus de 400 millions d'utilisateurs. Son omniprésence en a fait une plate-forme activement exploitée pour diffuser des informations malveillantes, des discours de haine, des fausses nouvelles et d'autres formes de contenu sexuellement explicite.

Pour compliquer davantage le problème, le cryptage de bout en bout de WhatsApp de toutes les communications, ce qui rend plus difficile pour l'application de messagerie appartenant à Facebook - ou même les services répressifs - de surveiller et de vérifier l'authenticité des messages. L'extension Burp Suit de

Checkpoint - dont elle a fait la démonstration lors de la conférence - brise efficacement cette barrière de chiffrement pour déchiffrer les messages de discussion, et donc la rendre ouverte à la manipulation.

L'exploitation de la manipulation de clavardage de WhatsApp reste irrésolue même après un an

 L'exploitation de la manipulation de clavardage de WhatsApp reste irrésolue même après un an © fourni par The Next Web messages. Les failles permettraient «d'intercepter et de manipuler des messages envoyés dans des conversations privées et de groupe, donnant aux attaquants le pouvoir de créer et de diffuser des informations erronées à partir de ce qui semble être des sources fiables», ont noté les chercheurs.

Pour y parvenir, les chercheurs ont exploité la version Web de WhatsApp qui permet aux utilisateurs de coupler leur téléphone à l'aide d'un code QR.

En obtenant la paire de clés privée et publique créée avant la génération d'un code QR et le paramètre «secret» envoyé par le téléphone mobile à WhatsApp Web pendant que l'utilisateur scanne le code QR, l'extension facilite la surveillance et le décryptage communications à la volée.

Ainsi, il apparaît que pour exploiter la vulnérabilité, l'attaquant devra connecter son appareil mobile à l'extension (voir vidéo ci-dessus) afin de pouvoir perpétrer l'attaque. Nous avons contacté Checkpoint pour plus de détails. Nous mettrons à jour l'histoire une fois que nous aurons entendu.

L'impact

Une fois que le trafic Web - contenant des détails tels que les détails des participants, la conversation réelle et un identifiant unique - est capturé, les chercheurs ont déclaré que les failles leur permettaient d'usurper les réponses aux messages, de modifier le contenu des messages et même de «manipuler le chat par renvoyer un message à l'expéditeur au nom de l'autre personne, comme s'il venait de lui. »

Démarrage de la boîte de réception partagée Front ajoute le support WhatsApp

 Démarrage de la boîte de réception partagée Front ajoute le support WhatsApp Front , la société qui vous permet de gérer vos boîtes de réception en équipe, ajoute un canal de plus, WhatsApp. À partir d'aujourd'hui, vous pouvez lire et répondre aux personnes qui vous contactent via WhatsApp. Cette fonctionnalité est spécifiquement destinée aux utilisateurs de WhatsApp Business. Vous pouvez obtenir un numéro de téléphone professionnel via Twilio , puis remettre ce numéro à vos clients.

Avec WhatsApp devenant une plate-forme majeure pour la distribution de nouvelles, l'exploit pourrait avoir de sérieuses implications car il sape la confiance et met l'intégrité des messages en question.

Facebook , pour sa part, a communiqué aux chercheurs que les deux autres problèmes n'ont pas pu être résolus en raison des «limitations d'infrastructure» sur WhatsApp.

Lorsque la nouvelle de la vulnérabilité a éclaté l'année dernière, la société a déclaré que les modifications suggérées par Checkpoint forceraient WhatsApp à enregistrer tous les messages - ce qu'elle a dit qu'elle n'était pas prête à faire pour des raisons de confidentialité , soulignant une fois de plus les compromis entre confidentialité et sécurité. Selon les rumeurs, le service de messagerie fonctionne actuellement sur une version de bureau autonome, ce qui, s'il est vrai, pourrait limiter la mesure dans laquelle ces failles pourraient être exploitées dans la nature.

Mais la propagation de la désinformation

sur WhatsApp a été un casse-tête majeur pour l'entreprise, en particulier en Inde, où de fausses rumeurs circulées sur l'application de chat ont conduit à une série de lynchages de la foule l'année dernière. Alors que WhatsApp a essayé de résoudre le problème en imposant des limites de transfert de messages, le gouvernement indien a cherché à assurer la traçabilité de chaque message envoyé sur sa plateforme sans casser son cryptage.

WhatsApp, Telegram avait des failles de sécurité qui permettaient aux pirates de modifier ce que vous voyez .
Votre navigateur ne prend pas en charge cette vidéo Bien que l'expéditeur ait pu envoyer, par exemple, une photo d'une carte, le malware pourrait exploiter cette vulnérabilité sur WhatsApp et Telegram pour remplacer la photo et donner au destinataire des indications erronées. Dans un autre exemple, le malware pourrait changer les numéros sur une photo d'une facture, pour escroquer les victimes en donnant de l'argent à la mauvaise personne.

Voir aussi