Check Point enthüllte eine neue Schwachstelle in den Online-Plattformen WhatsApp Web und Telegram Web. Angreifer konnten Nutzerkonten vollständig übernehmen und auf die persönlichen Unterhaltungen, Fotos, Videos und andere geteilten Dateien, Kontaktlisten und sonstige Daten zugreifen.
„Durch diese neue Schwachstelle laufen Hunderte von Millionen WhatsApp- und Telegram-Web- Nutzer Gefahr, dass ihre Accounts vollständig übernommen werden“, sagt Oded Vanunu, Leiter Product Vulnerability Research bei Check Point.
„Ein Hacker kann durch einfaches Versenden eines harmlos aussehenden Fotos die Kontrolle über den Account erlangen, auf den Nachrichtenverlauf sowie auf alle Fotos, die jemals geteilt wurden, zugreifen und Nachrichten im Namen des Nutzers versenden.“
Die Schwachstelle ermöglicht dem Angreifer, Schadcode an sein Opfer zu senden, der sich in einem harmlos aussehenden Bild verbirgt. Sobald der Nutzer das Bild anklickt, bekommt der Angreifer vollen Zugriff auf die Speicherdaten von WhatsApp oder Telegram des Opfers. Der Angreifer kann die bösartige Datei dann an alle Kontakte des Opfers senden und so möglicherweise einen zielgerichteten Angriff starten.
Check Point leitete diese Informationen an die Sicherheitsteams von WhatsApp und Telegram am 8. März weiter. WhatsApp und Telegram haben das Sicherheitsproblem bestätigt und einen Fix für Webkunden in aller Welt entwickelt.
„Zum Glück reagierten WhatsApp und Telegram schnell und verantwortungsvoll und führte die Maßnahmen zur Entschärfung dieses Problems bei allen Webclients ein“, sagt Oded Vanunu. WhatsApp- und Telegram-Webnutzern, die sicherstellen möchten, dass sie die neueste Version nutzen, wird empfohlen, ihre Browser neu zu starten.
WhatsApp und Telegram nutzen Ende-zu-Ende-Mitteilungsverschlüsselung als Maßnahme zur Datensicherung. Dadurch wird gewährleistet, dass nur diejenigen die Nachrichten lesen können, die miteinander kommunizieren, aber niemand dazwischen. Doch genau diese Verschlüsselung war auch der Ursprung dieser Schwachstelle.
Da Mitteilungen seitens des Absenders verschlüsselt wurden, konnten WhatsApp und Telegram den Inhalt nicht sehen und waren damit nicht in der Lage zu verhindern, dass bösartiger Inhalt versendet wurde. Nachdem die Schwachstelle behoben ist, wird der Inhalt nun vor der Verschlüsselung validiert. Auf diese Weise können bösartige Dateien blockiert werden.
Beide Web-Versionen spiegeln alle vom Nutzer auf der mobilen App versendeten und erhaltenen Mitteilungen wider und sind mit den Nutzergeräten vollständig synchronisiert. WhatsApp hat weltweit über 1 Milliarde Nutzer und ist damit der heute am weitest verbreitetste Kurznachrichtendienst.