Atenție, utilizatori WhatsApp! Un program fraudulos a afectat mii de conturi
Introducere
Un pachet software distribuit pe platforma npm, utilizată de dezvoltatorii JavaScript, s-a dovedit a fi un instrument de acces neautorizat la conturile WhatsApp Web. Mii de utilizatori au descărcat această bibliotecă, crezând că este o unealtă oficială pentru automatizări, fără să știe că include componente capabile să preia controlul asupra sesiunilor lor.
Descrierea pachetului malițios
Biblioteca era prezentată ca un modul pentru WhatsApp Web API, dar integra funcții ascunse care colectau date sensibile ale utilizatorilor. Codul din acest modul deriva dintr-un proiect open-source destinat dezvoltării de boți pentru WhatsApp, numit „lotusbail”. Pachetul oferea funcții de automatizare, însă în fundal captura tokenuri de autentificare, chei de sesiune și conținutul mesajelor.
Practic, tot traficul dintre utilizator și WhatsApp Web era interceptat înainte de a ajunge în aplicație, inclusiv mesajele primite, mesajele trimise, fișierele multimedia și datele de autentificare, toate fiind trimise către serverele atacatorilor.
Cum acționează pachetul malițios
Pentru a evita detectarea, informațiile erau criptate cu un mecanism RSA modificat, împiedicând monitorizarea rețelei să identifice activitatea suspectă. O funcție periculoasă a pachetului permitea conectarea unui dispozitiv suplimentar la contul victimei, generând un cod scurt pe care atacatorul îl folosea pentru a-și asocia propriul dispozitiv la contul WhatsApp al utilizatorului, prin procedura oficială de „Linked Devices”. Procesul se desfășura în fundal, fără notificări vizibile, ceea ce făcea accesul neautorizat greu de observat.
Măsuri de protecție pentru utilizatori
Experții în securitate recomandă următoarele măsuri esențiale:
- verificarea periodică a dispozitivelor conectate la contul WhatsApp din meniul „Setări”;
- eliminarea imediată a oricărui dispozitiv necunoscut;
- dezinstalarea pachetului malițios dacă a fost utilizat în proiecte software;
- ruperea manuală a sesiunilor asociate, deoarece simpla dezinstalare nu anulează accesul atacatorului.
Pachetul a fost activ timp de aproximativ jumătate de an, fiind descărcat de peste 56.000 de ori, ceea ce sugerează un număr semnificativ de conturi expuse.
Semnal de alarmă pentru dezvoltatori și utilizatori
Incidentul subliniază cât de ușor poate fi exploatată încrederea în bibliotecile open-source și importanța verificării atente a pachetelor instalate. Accesul neautorizat la mesaje și fișiere poate rămâne invizibil pentru utilizatori pe o perioadă extinsă.
Concluzie
Acest incident evidențiază vulnerabilitățile legate de utilizarea bibliotecilor software nesupravegheate și necesitatea de a implementa măsuri stricte de securitate pentru protejarea datelor personale.
