por psicoSherlock

Ok, vou ser honesto. O título é só para você clicar no blog. Não é um hack real . É mais como um bug que existe no WhatsApp há quase dois anos. A parte triste é que ninguém fala sobre isso. Ninguém simplesmente se importa com esse bug, nem mesmo o Whatsapp. Mas eu prometo a você, isso não é tão bobo de deixar desacompanhado.

Isenção de responsabilidade : este blog é apenas para fins educacionais e de pesquisa. Não sou responsável se alguém fizer uso indevido das informações deste blog para produzir algum dano a alguém. Não assumo nenhuma responsabilidade por quaisquer danos ou perdas incorridos como resultado do uso dessas informações. Na verdade, aconselho os leitores a compartilhar este blog apenas com pesquisadores éticos em quem você confia.

Ok, eu sei que todos nós amamos o Whatsapp. Eu também gosto dos outros 2,5 bilhões de usuários do Whatsapp. Todos nós o usamos para nossas atividades do dia-a-dia. Converse com seu chefe e envie mensagens de texto para suas namoradas. Mas como você se sentiria se um dia acordasse e descobrisse que estava desconectado do Whatsapp? Oh!! E daí? Eu entraria novamente, você diz.

Bem, e se você não puder? E se você não puder nas próximas 7 horas? Você esperaria 7 horas, certo? Bem, e se fosse por 24 horas? Que tal uma semana? E 6 meses? Você esperaria 6 meses para entrar novamente? Parece-me muito!

Esse bug no Whatsapp permite que invasores suspendam ou até mesmo banam sua conta do Whatsapp sem precisar acessá-la. Usando apenas o seu número de telefone, um invasor pode bloqueá -lo completamente de sua conta do Whatsapp sem qualquer ação prévia necessária de sua parte. Depois de bloqueado, é ainda mais improvável fazer login novamente. O que é mais surpreendente é que, ao contrário de outros ataques potenciais do Whatsapp como o Trojan, que exigem pelo menos um pouco de habilidade e sorte para serem alcançados, esse hack pode ser feito por um Garoto de 10 anos com apenas um telefone! Mesmo a autenticação de dois fatores não impediria isso.

O ataque continua assim...

É simples. Tudo o que você precisa é o número de telefone das vítimas, um bom telefone e um endereço de e-mail. Vou escrever os passos como se faria em um POC, apenas para que os NOOBIE TERMUX HACKERS não os leiam. Também não vou detalhar as etapas exatas porque isso causaria menos danos.

1. O atacante reúne o número de telefone da vítima.
2. O invasor instala uma nova versão do Whatsapp em seu telefone.
3. Abrindo o Whatsapp, o invasor é solicitado a fornecer um número de telefone, onde ele envia o número de telefone da VÍTIMA e, em seguida, toca em Avançar
4. Na página OTP, o invasor espera até que o cronômetro termine.
5. E quando o cronômetro termina, o invasor toca na opção: Não recebeu o código?
6. Ele veria duas ou três opções, uma para enviar sms, a segunda para ligar e a terceira para verificar em outro telefone
7. O invasor toca em Enviar SMS. Aguarda o término do cronômetro e repete o processo novamente. Ele repete isso novamente. Observe que o cronômetro para verificação de sms aumenta a cada vez. Ele faz isso até que o cronômetro mostre 7 horas.
8. Agora o invasor toca na opção Verificação de chamada em vez de sms. Ele repete isso até que o cronômetro mostre 3 horas.
9. Agora este é o primeiro passo. Limite de taxa A API Whatsapp OTP não verifica se é do mesmo telefone ou de um telefone diferente. Ele verifica o número de telefone todas as vezes. Portanto, toda vez que o número de telefone da VÍTIMA for registrado, o Limite de Taxa será acionado.

1. O invasor então escreve um e-mail para o Whatsapp, com o seguinte conteúdo:

3. Envie e aguarde a resposta. Pode levar de 3 a 5 minutos.

4. Se tudo correr bem, você receberá a seguinte resposta:

Agora o que aconteceu? O Whatsapp possui algum tipo de automação de forma que, se algum e-mail for recebido com esse assunto e conteúdo, a conta do Whatsapp será desativada de todos os dispositivos. E assim a VÍTIMA é solicitada a fazer o login novamente.

Mas quando a vítima tenta fazer login novamente, é aí que está o problema. Ele não poderá fazer login novamente, pois já limitamos a taxa da API, então ele deve aguardar 7 horas. Não tem como a vítima voltar, nem entrar em contato pelo Whatsapp ajuda. Ele terá que ficar de fora das 7 horas. Nem mesmo o 2FA o protegeu.

O problema é que, mesmo que ele espere 7 horas, o invasor executará esse processo novamente e, assim, bloqueará completamente a VÍTIMA.

E há uma reviravolta ainda mais desagradável nisso. Se o invasor continuar fazendo o processo de limitação de taxa por mais um ciclo sem enviar o e-mail , após 7 horas serão 11 ou 12 horas. E depois de 12 horas parece que o Whatsapp vai quebrar. Outro BUG . Ele mostrará: “Tente novamente após -1 segundos”

Se o invasor esperar até agora antes de enviar um e-mail ao suporte do WhatsApp para desativar seu número, não haverá como você registrar novamente o WhatsApp em seu telefone quando for expulso do aplicativo. É isso! Fim da história.

Imagine o impacto comercial e pessoal que isso pode custar. Embora comprar um novo número seja uma ótima ideia, o bug ainda é um bug e o invasor pode fazer isso novamente.

Então, qual é o problema?

Bem, apenas um. Existe a possibilidade de que, ao enviar o e-mail , o invasor receba a seguinte resposta

Bem, se esta foi a resposta, então não há nada que o invasor possa fazer. Não sei o motivo dessa resposta. Mas acontece que às vezes a resposta é esta. A outra resposta ocorre em 2/3 do tempo. Se vocês tiverem alguma ideia sobre isso, me avisem.

Como se proteger

Como eu disse, você NÃO PODE!!

Na verdade não, há dois métodos que eu recomendaria:

1. Não faça inimigos
2. Não deixe seu número de telefone público

Mais uma coisa a observar é que esse não é um caso muito raro, você conhece os invasores que usam esse método. De fato, deixe-me falar sobre meu próprio caso.

Eu vaguei por grupos de telegramas de hackers Termux ( Script Kiddies ) e pedi que eles me hackeassem se pudessem. Eu estava muito confiante em mim. Quero dizer, por que não deveria ser. Sou um Hacker e sei que a segurança está em minhas próprias mãos. Mas então esse garoto acabou de me banir do Whatsapp. Lol .. Eu estava com tanto medo naquela época. Felizmente ele não me baniu para sempre. Assim consegui entrar novamente.

E então eu pesquisei na web para finalmente chegar à forbes. E esta parecia ser exatamente a maneira que o garoto fez comigo. Tudo se encaixou bem.

Então o que quero dizer é que fui hackeado. Por favor, não seja hackeado compartilhando este blog. Eu não encorajo você a compartilhar isso. E também me deixe em paz se for testar algo .

Créditos

Obrigado a Zakdoffman da Forbes por publicar este artigo. Tem uma explicação mais detalhada se alguém quiser estudar mais.

Parabéns a Luis Márquez Carpintero e Ernesto Canales Pereña por descobrirem este problema. Esses pesquisadores tentaram de todas as formas possíveis entrar em contato com o Whatsapp e simplesmente não se importam!