Une faille sur WhatsApp pouvait supprimer des groupes de discussion

WhatsApp a corrigé une faille de sécurité qui aurait pu permettre à des cyberattaquants de faire planter à plusieurs reprises l’application de messagerie pour tous les membres d’un groupe de discussion. Le problème ne pouvait être corrigé qu’en forçant la désinstallation complète et de l’application puis en la réinstallant.

Mais, même une fois l’application restaurée, les utilisateurs ne peuvent plus revenir au groupe, ce qui entraîne la perte de tous les messages et contenus échangés dans la discussion.

La vulnérabilité de l’application de messagerie utilisée par plus de 1,5 milliard de personnes a été découverte par les chercheurs en cybersécurité de Check Point qui ont travaillé avec WhatsApp, propriété de Facebook, pour s’assurer qu’elle ne puisse pas être exploitée par des pirates.

Compétences de piratage nécessaires

La précédente étude de Check Point avait déjà permis aux analystes sécurité des renseignements sur la manière dont les messages WhatsApp pouvaient être détournés ou manipulés.

Pour pouvoir lancer le crash de l’application sur un appareil, l’attaquant doit d’abord accéder au groupe WhatsApp qu’il cible. L’application permettant jusqu’à 256 utilisateurs par groupe, ce n’est pas forcément le plus difficile.

Le hacker potentiel aura quand même besoin de compétences de piratage pour pouvoir lancer l’attaque, notamment la possibilité de naviguer sur WhatsApp Web et d’ouvrir les DevTools de Chrome, mais aussi avoir accès aux paramètres secrets utilisés par l’application pour le fonctionnement des discussions de groupe.

Modifier le numéro de téléphone d’identification des membres du groupe

Malgré tout, c’est possible en utilisant des outils de test d’intrusion tout à fait légitimes. C’est comme ça que les chercheurs ont pu accéder au trafic de WhatsApp et déchiffrer les paramètres secrets pour les transformer en texte brut, permettant à l’attaquant de déchiffrer et de modifier les messages, comme ce fut le cas lors des recherches antérieures de Check Point dans ce domaine.

Cette fois-ci, les chercheurs ont constaté qu’ils pouvaient utiliser cette technique pour modifier le numéro de téléphone d’identification des membres du groupe, en remplaçant les numéros par des caractères non numériques. En envoyant un message avec ce numéro modifié, il crasherait alors l’application pour chaque membre du groupe.

Quand le bug est présent, l’application continuera à planter indéfiniment dès l’ouverture de WhatsApp. Le groupe doit alors être supprimé et WhatsApp réinstallé pour que ça fonctionne de nouveau. Pendant que l’application est remise en état de fonctionnement, le groupe et tout son contenu sont perdus à jamais.

Utilisation à des fins de sabotage

Mais même si tous les membres du groupe réinstallent l’application, les informations échangées précédemment ont disparu. Cette attaque pourrait donc être utilisée à des fins de sabotage – surtout que WhatsApp est utilisé par des milliards de personnes dans le monde.

« Il peut s’agir d’un outil de vandalisme pur et simple, ou bien il peut cibler spécifiquement un groupe, comme par exemple des conseillers politiques ou des dirigeants d’entreprise, pour perturber leurs communications. Une fois que le groupe de discussion a été attaqué à l’aide de cette faille, toutes ses données sont définitivement perdues », a déclaré  à ZDNet Oded Vanunu, responsable de la recherche sur la vulnérabilité des produits chez Check Point.

Les chercheurs ont communiqué leurs résultats au “WhatsApp bug bounty program” en août et le déploiement de la version 2.19.58 en septembre a corrigé cette vulnérabilité. Il est recommandé aux utilisateurs qui n’ont pas mis à jour WhatsApp depuis septembre de télécharger la dernière version afin d’éviter d’être victime de cette attaque.

Le conseil : mettre à jour

« WhatsApp apprécie grandement le travail de la communauté technologique qui nous aide à assurer la sécurité de nos utilisateurs dans le monde entier », déclare Ehren Kret, ingénieur logiciel chez WhatsApp. « Grâce aux remarques pertinentes de Check Point à notre programme de recherche de bugs, nous avons rapidement résolu ce problème sur WhatsApp à la mi-septembre. »

« Nous en avons profité pour ajouter aussi récemment de nouveaux contrôles, afin d’éviter que des membres indésirables soient ajoutées à des groupes de discussion. Le but est d’éviter toute communication avec des parties qui ne sont pas dignes de confiance », a-t-il ajouté.