WhatsApp と Telegram の脆弱性により、ハッカーがプライベート メディア ファイルを操作できる可能性があります
サイバーセキュリティ企業シマンテックの研究者らは月曜日、ある論文で明らかにした。ブログ投稿人気のインスタント メッセージングとエンドツーエンドの暗号化プラットフォームである WhatsApp と Telegram の欠陥により、ハッカーがこれらのサービスを通じて転送されるプライベート メディア ファイルを操作できる可能性があるということです。
シマンテックの研究者らによると、「メディアファイルジャッキング」と呼ばれるセキュリティ上の欠陥はデフォルトでAndroid版WhatsAppに影響し、特定の機能が有効になっている場合はAndroid版Telegramに影響を与えたという。
この脆弱性は、アプリを通じて受信したメディア ファイルがディスクに書き込まれてから、ユーザーが使用できるようにアプリのチャット ユーザー インターフェイス (UI) に読み込まれるまでの時間の経過によって発生します。この重要なタイムラプスにより、悪意のある攻撃者がユーザーの知らない間に侵入し、メディア ファイルを操作することが可能になります。
「セキュリティ上の欠陥が悪用されると、悪意のある攻撃者が個人の写真やビデオ、企業文書、請求書、ボイスメモなどの機密情報を悪用したり操作したりする可能性がある」とソフトウェアエンジニアのアロン・ガット氏と副社長兼最高技術責任者のヤイール・アミット氏は書いている。 、最新の OS セキュリティ、シマンテック。 「攻撃者は、これらの IM アプリを個人的な利益のために使用したり、大混乱を引き起こしたりする場合に、送信者と受信者の間の信頼関係を利用する可能性があります。」
WhatsApp はデフォルトで写真やビデオなどのファイルを外部ストレージに自動的に保存しますが、「ギャラリーに保存」が有効になっている場合、この脆弱性は Telegram に存在します。
メディア ファイル ジャッキングにより、外部ストレージへの書き込み権限を持つ悪意のある Android アプリケーションが、WhatsApp や Telegram 経由で送受信されるファイルを迅速に変更できるようになります。
研究者らは、悪意のあるアプリがさまざまな方法で被害者を騙すためにどのように使用されるかを示しました。彼らは、WhatsApp と Telegram を通じて送信された画像ファイルと音声ファイルを操作するために作成されたマルウェアをテストしました。
研究者らは画像操作の例を挙げ、「ユーザーがダウンロードした一見無害だが、実際には悪意のあるアプリは、被害者に気づかれずにほぼリアルタイムで個人の写真を操作する可能性がある」と述べた。
上のクリップの場合、2 人の友人の写真が送信されたことがわかります。しかし、受信者のデバイス上のマルウェアによって、画像は俳優ニコラス・ケイジの画像に自動的に置き換えられました。
「WhatsApp ユーザーは家族の写真を連絡先の 1 人に送信できますが、受信者に表示されるのは実際には変更された写真です。この攻撃は些細で単なる迷惑に見えるかもしれませんが、その場で画像を操作できる可能性を示しています」とブログ投稿では述べています。
攻撃者は同じ脆弱性を利用して支払いや音声メモを変更することもでき、これは非常に危険なシナリオとなる可能性があります。
「最も有害なメディア ファイル ジャッキング攻撃の 1 つでは、悪意のある攻撃者がベンダーから顧客に送信された請求書を操作して、顧客をだまして不正なアカウントに支払いをさせることができます」とガット氏とアミット氏は書いている。
「正規のように見えますが、実際には悪意のあるアプリは、WhatsApp 経由で受信した PDF 請求書ファイルを監視し、請求書に表示されている銀行口座情報をプログラムによって悪意のある者の情報と交換します。顧客は、最初から期待していた請求書を受け取りましたが、それが変更されているとは知りませんでした。トリックが暴露される頃には、お金はとっくになくなっているかもしれない」と彼らは付け加えた。
「さらに悪いことに、請求書ハッキングは標的を絞らない方法で広範囲に拡散し、操作対象の請求書を探し、WhatsApp などの IM アプリを使用してビジネスを行う複数の被害者に影響を与える可能性があります。」
同社はまた、このハッキングが、膨大な数のユーザーにメッセージをブロードキャストするために使用されるテレグラムの「チャネル」で誤った情報を拡散するために使用される可能性があるとも述べた。
シマンテックの研究者は、すでに WhatsApp と Telegram にメディア ファイル ジャッキングの脆弱性について通知しており、脆弱性を修正するためにプラットフォーム上のファイル検証とストレージを変更するという複数の提案も行っています。
しかし、WhatsAppの広報担当者は、ストレージシステムに変更を加えるとメディアファイルを共有するサービスの機能が制限され、新たなプライバシー問題も発生すると述べた。
「WhatsAppはこの問題を詳しく調査しており、アプリのエコシステムに影響を与えるモバイルデバイスのストレージに関する以前の質問と同様だ」と広報担当者は声明で述べた。 「WhatsApp は、メディア ストレージに関してオペレーティング システムによって提供されている現在のベスト プラクティスに従っており、Android の進行中の開発に合わせてアップデートを提供することを楽しみにしています。ここで提案されている変更は、ユーザーにとってプライバシーを複雑にするとともに、写真やファイルの共有方法を制限する可能性があります。」
こちらもお読みください-WhatsApp、大量メッセージ送信、アプリ悪用なら法的措置へ
この件に関してテレグラムはまだ返答を出していない。
