WhatsApp et Telegram corrigent des vulnérabilités importantes

Par

le

WhatsApp et Telegram ont corrigé des failles dans leurs applications après que des chercheurs en sécurité ont révélé qu’il était possible de prendre le contrôle des comptes d’utilisateurs.

WhatsApp et Telegram sont deux applications de messagerie instantanée qui ont plus d’un milliard d’utilisateurs cumulés. Elles offrent des communications chiffrées, un envoi de messages rapide et un tas d’autres fonctionnalités. Mais de nouvelles recherches révèlent qu’une image injectée par un logiciel malveillant aurait suffi à voler les comptes Web WhatsApp ou Telegram d’une personne. Il faudrait seulement quelques secondes pour que l’attaquant obtienne un contrôle total sur les comptes, y compris l’accès aux images, aux vidéos, aux fichiers audio et aux contacts. Et le cryptage serait effectivement une aide avec ce genre de hack.

La vulnérabilité était présente sur les versions desktop des applications, ainsi si vous n’utilisez pas WhatsApp ou Telegram sur votre ordinateur, alors vous étiez déjà à l’abri.

Les chercheurs en sécurité ont découvert que le code malveillant pouvait être caché à l’intérieur d’une image. Lorsqu’il est cliqué, le fichier image exécute le code et l’attaquant obtient un accès complet aux données de stockage WhatsApp et/ou Telegram. Le pirate pourrait ensuite envoyer le fichier à tous les contacts de la victime, en diffusant le malware à d’autres cibles.

Découverte par Check Point, la vulnérabilité a été communiquée à WhatsApp et Telegram le 8 mars, et les deux entreprises ont déjà déployé des correctifs pour leurs clients desktop.

Fait intéressant, c’est la fonctionnalité de cryptage de bout en bout de ces applications qui aurait aidé les pirates à profiter de la faille. Parce que le contenu des discussions est crypté de bout en bout, cela signifie que ni WhatsApp ni Telegram n’ont pu voir le malware caché dans une image malveillante partagée, ce qui permet de passer du code malveillant entre les utilisateurs.

Dorénavant, le contenu sera validé avant le cryptage, explique Check Point, afin de bloquer les fichiers malveillants.

Mise à jour du 17 mars 2017 :

Telegram a répondu à Check Point au sujet de son app. Si la faille était bien réelle, l’entreprise explique qu’elle était très complexe à exploiter pour un pirate. Contrairement à la faille touchant Whatsapp, le hacker devait avoir un certain nombre de conditions très précises pour lancer son attaque. Premièrement, la victime devait ouvrir une vidéo et non une photo envoyée par l’attaquant. Ensuite, pendant que la vidéo était en cours de lecture, l’utilisateur devait également faire un clic droit et ouvrir la vidéo en question dans un nouvel onglet.


Articles recommandés