WhatsApp GhostPairing
Od pewnego czasu trwa atak na użytkowników komunikatora WhatsApp zwany GhostPairingiem. Atak jest kolejną odsłoną klasycznego phishingu nakłanianiającego użytkowników do wykonywania czynności udostępniających przestępcom danych osoby zaatakowanej.
Co więcej, atak ten omija całkowicie szyfrowanie komunikacji wykorzystując całkowicie legalne funkcje dostępne w ramach komunikatora. Dodatkowo ofiara praktycznie nie ma świadomości, że jej konto jest skompromitowane, a póki przestępca nie zacznie wykorzystywać przejętego konta do dalszych ataków, ofiara nie ma świadomości, że wszystkie jej konwersacje i multimedia są w trybie rzeczywistym dostępne dla przestępcy.
Mechanizm ataku :
Wszystko zaczyna się od wiadomości otrzymanej od użytkownika którego konto zostało wcześniej przejęte ( pojawia się efekt kuli śnieżnej gdzyż każde przejęte konto jest źródłem kolejnych ataków ). W wiadomości pojawia się zaproszenie do zapoznaniem się z jakąś treścią – zdjęciem filmem itp.
Po kliknięciu w link użytkownik dostaje monit podszywający się pod jakiś znany serwis który rzekomo musi zweryfikować użytkownika poprzez kod QR do zeskanowania w WhatsApp lub kod numeryczny który należy wpisać w aplikacji.
Uruchomiony zostaje mechanizm przyłączenia kolejnego urządzenia do konta ( w tym przypadku przestępcy ) który przebiega bez jakiegokolwiek udziału użytkownika.
Od tego momentu włamywacz ma dostęp do rozmów, zarówno archiwalnych jak i bieżących, multimediów oraz kontaktów dostępnych w aplikacji.
Co więcej od tego momentu może również identyfikować się jako przejęte konto w celu dalszego rozpowszechniania ataku, potencjalnego szantażu w przypadku znalezienia danych poufnych lub kompromitujących, lub prostych wyłudzeń na poczet przejętego konta.
Jak się obronić ?
kluczowy jest moment skanowania QR kodu lub wpisania kodu dostępu. Jeżeli jesteś lub byłeś ofiarą takiego ataku ale nie wykonałeś tego kroku – jesteś bezpieczny. Ważne by spróbować powiadomić osobę od której otrzymaliście taki link o fakcie że prawdopodobnie jego konto zostało przejęte.
Jeżeli kliknęliście … ehm … to trochę pozamiatane bo to był moment w którym daliście dostęp do swojego konta osobie trzeciej.
Jedyne co możecie zrobić to jak najszybciej w panelu aplikacji sprawdzić jakie urządzenia są przypięte do Waszego konta i usunąć te które są podejrzane. W tym momencie odcinacie przestępcę od dalszego korzystania z Waszego konta, natomiast dalsze konsekwencje są niestety zależne od zamiarów włamywacza.
Na pewno warto uprzedzić wszystkie kontakty które mieliśmy w WhatsAppie, że staliście się ofiarą takiego ataku i wszelkie konwersacje należy traktować jako potencjalnie upublicznione.
A wszystkim korzystającym z tej zielonej aplikacji sugeruje co pewien czas zaglądać i sprawdzać jakie urządzenia mamy sparowane z kontem, i czy jesteśmy właścicielem każdego z nich.
Źródła informacji :
The ghosts of WhatsApp: How GhostPairing hijacks accounts | Malwarebytes