امکان هک شدن حسابهای کاربری دو سرویس پیامرسان محبوب واتساپ و تلگرام با ارسال تصاویر آلوده به بدافزار وجود دارد.
امروز محققان شرکت امنیتی چکپوینت اعلام کردند که روش جدیدی برای هک حسابهای کاربری تلگرام و واتساپ وجود دارد. در این روش حساب کاربری افراد در این دو پیامرسان با ارسال فایلهای چندرسانهای هک خواهد شد. چکپوینت موفق شده است با مهارت خود عکسی آماده کند که از نظر ظاهری شبیه به عکسهای معمولی است، اما کاربران را به یک صفحهی اچتیامال هدایت خواهد کرد. پس از بارگذاری صفحهی اچتیامال مورد اشاره، دادههای محلی ذخیرهشده روی دستگاه مخاطب توسط هکرها خوانده میشوند و در نتیجه امکان دسترسی هکرها به حساب کاربری قربانیان فراهم خواهد شد.
اودِد وانونو، رئیس بخش محصولات چکپوینت میگوید: «هکرها میتوانند با ارسال یک عکس ساده حساب کاربری افراد را کنترل کنند و به سوابق پیامها و حتی همهی عکسهای اشتراکگذاری شده کاربر دسترسی بیابند و همچنین از طرف وی برای دیگران پیام ارسال کنند.»
در واتساپ اگر کاربران این نوع عکسها را باز کنند، امکان نظارت هکر بر حساب کاربری آنها فراهم خواهد شد. اما استفاده از این آسیبپذیری در سرویس پیامرسان تلگرام کمی سختتر است؛ چراکه کاربر باید یک ویدیوی خاص را در یک تب مجزا در مرورگر کروم باز کند؛ تلگرام در این رابطه اعلام کرده است که انجام اینکار یک تعامل غیر عادی تلقی میشود.
آسیپپذیری مورد بحث در تاریخ ۸ مارس به هر دو سرویس مورد اشاره ارسال شده است و پس از آن، هر دو پیامرسان تغییراتی در سیستم خود اعمال کردهاند تا از حملاتی که با استفاده از این آسیپپذیریها انجام میشوند، جلوگیری کنند. علاوه بر این واتساپ از ابراز هر گونه نظر در این مورد خودداری کرده است.
برخلاف سرویسهای ایمیل یا سرویسهای چت، در دو پیامرسان واتساپ و تلگرام هیچ راهی برای خواندن پیامهای رد و بدل شده بین کاربران وجود ندارد؛ چراکه این دو سرویس از رمزنگاری دوطرفه بهره میبرند. همین ویژگی باعث شده است امکان ارسال تصویر آلوده به بدافزار آسانتر شود. باید اشاره کنیم با توجه به اینکه مکانیزم خاصی برای بررسی پیامهای ارسالی و دریافتی در دو سرویس مورد بحث وجود ندارد، بررسی پیامها برای وجود ویروس و بدافزار سخت است.
چکپوینت در ماه نوامر نیز یک کمپین بدافزاری کشف کرده بود. این کمپین بیش از یک میلیون گوشی هوشمند اندروید را تحت تأثیر قرار داده بود تا با سوء استفاده از گوشی کاربران و بدون اطلاع آنها، امتیازاتی برای اپلیکیشنهای موجود در فروشگاه گوگلپلی ثبت شود.