Atenție utilizatorilor WhatsApp! Un software fraudulos a afectat mii de conturi
Descrierea incidentului
Un pachet software distribuit pe platforma npm, folosită de dezvoltatorii JavaScript, a fost identificat ca un instrument de acces neautorizat la conturile WhatsApp Web. Mii de utilizatori au descărcat această bibliotecă, crezând că este o unealtă oficială pentru automatizări, fără a bănui că include componente care le pot compromite sesiunile.
Biblioteca era prezentată ca un modul pentru WhatsApp Web API, însă integra funcții ascunse, permițând colectarea datelor sensibile ale utilizatorilor.
Cum acționează pachetul malițios
Codul din acest modul provine dintr-un proiect open-source destinat dezvoltării de boți pentru WhatsApp. Sub denumirea „lotusbail”, pachetul oferea funcții obișnuite de automatizare, dar, în fundal, captura tokenuri de autentificare, chei de sesiune și conținutul mesajelor.
Tot traficul dintre utilizator și WhatsApp Web era interceptat înainte de a ajunge în aplicație, inclusiv mesajele primite, mesajele trimise, fișierele multimedia și datele de autentificare, care erau copiate și trimise către serverele atacatorilor.
Pentru a evita detectarea, informațiile erau criptate cu un mecanism RSA modificat, astfel încât monitorizarea rețelei să nu identifice activitatea suspectă.
Acces complet la cont prin asocierea unui dispozitiv extern
Una dintre cele mai periculoase funcții ale pachetului era posibilitatea de a conecta un dispozitiv suplimentar la contul victimei. Modulul genera un cod scurt, folosit de atacator pentru a-și asocia propriul dispozitiv la contul WhatsApp al utilizatorului, prin procedura oficială de „Linked Devices”. Acest proces se desfășura în fundal, fără notificări vizibile, făcând accesul neautorizat greu de observat.
Cum pot utilizatorii să se protejeze
Experții în securitate recomandă următoarele măsuri esențiale:
- Verificarea periodică a dispozitivelor conectate la contul WhatsApp din meniul „Setări”.
- Eliminarea imediată a oricărui dispozitiv necunoscut.
- Dezinstalarea pachetului malițios, dacă a fost folosit în proiecte software.
- Ruperea manuală a sesiunilor asociate, deoarece simpla dezinstalare nu anulează accesul atacatorului.
Pachetul a fost activ timp de aproximativ jumătate de an și a fost descărcat de peste 56.000 de ori, ceea ce sugerează că numărul conturilor expuse poate fi semnificativ.
Concluzie
Incidentul subliniază vulnerabilitățile din ecosistemul bibliotecilor open-source și importanța verificării atente a pachetelor instalate. Accesul neautorizat la mesaje și fișiere poate rămâne invizibil pentru utilizatori, având consecințe grave asupra securității personale.
