De plus en plus de gens utilisent la messagerie instantanée, à la fois pour des raisons personnelles et professionnelles. Les messageries offrent la possibilité non seulement de transférer des messages texte, mais également de transférer des fichiers. Par conséquent, les messagers instantanés peuvent transférer des vers et d’autres logiciels malveillants. De plus, il y a plusieurs vulnérabilités qui ont été découvertes.
Ce n’est pas nouveau les messageries en son temps MSN Messenger, AOL Instant, Messenger (AIM), ICQ, Yahoo! Instant Messenger (YIM), ont eu des vulnérabilités ! C’est le cas de WhatsApp et du RCS.
WhatsApp possède 1,5 milliard d’utilisateurs et plus d’un milliard de groupes, ce qui en fait l’application de messagerie instantanée la plus populaire au monde. Plus de 65 milliards de messages sont envoyés quotidiennement via WhatsApp. Comme WhatsApp est l’un des principaux canaux de communication pour les consommateurs dans le monde entier, les entreprises et les agences gouvernementales, empêcher les gens d’utiliser WhatsApp et supprimer de précieuses informations dans des discussions de groupe est une arme puissante pour les cybercriminels. Tous les utilisateurs de WhatsApp doivent passer à la dernière version de l’application pour se protéger d’une éventuelle attaque.
il y a eu ses derniers mois plusieurs vulnérabilités sur la messagerie. En Novembre Facebook a révélé l’existence d’une vulnérabilité grave entraînant des attaques d’exécution de code à distance dans le logiciel de messagerie WhatsApp. Cette vulnérabilité peut mener à des attaques par déni de service (DoS) ou exécution de code à distance (RCE).
Check Point Research a récemment contribué en Août à corriger une nouvelle vulnérabilité dans WhatsApp, qui aurait permis à un pirate de diffuser un message de groupe malveillant entraînant le plantage de l’application pour tous les membres du groupe. Afin d’être de nouveau en mesure d’utiliser WhatsApp, les utilisateurs auraient été obligé de le désinstaller et le réinstaller, puis de supprimer le groupe contenant le message.
[Le bug a été découvert en août 2019 et signalé à WhatsApp dont les développeurs ont corrigé le bogue dans la mise à jour pour la version 2.19.246 et les versions ultérieures.]
Le pirate aurait eu besoin d’être membre du groupe cible (WhatsApp autorise jusqu’à 256 utilisateurs par groupe) pour créer le message malveillant impactant le groupe, puis d’utiliser WhatsApp Web et l’outil de débogage de son navigateur web pour modifier des paramètres spécifiques du message, et enfin d’envoyer le texte modifié au groupe.
Ce message modifié aurait entraîné une boucle de plantage infinie pour les membres du groupe, leur refusant l’accès à toutes les fonctions de WhatsApp jusqu’à ce qu’ils réinstallent l’application et suppriment le groupe contenant le message malveillant. Source
Les chercheurs en sécurité à SRLabs ont trouvé un certain nombre de vulnérabilités avec les opérateurs (environ 100) autour du monde mettent en œuvre RCS. Dans certains cas, ces problèmes pourraient compromettre les données de localisation d’un utilisateur, ils pourraient permettre à leurs messages texte ou appels d’être interceptés, ou ils pourraient permettre à leur numéro de téléphone d’être usurpé.
– Le processus d’approvisionnement pour activer la fonctionnalité RCS sur un téléphone est mal protégé dans de nombreux réseaux, ce qui permet aux pirates de prendre entièrement le contrôle des comptes d’utilisateurs en volant les fichiers de configuration RCS qui incluent les informations d’identification SIP et HTTP
– Le client RCS le plus répandu (Messages Android) n’implémente pas une validation de domaine et de certificat suffisante, permettant aux pirates d’ intercepter et de manipuler la communication via une attaque d’usurpation DNS
– Certains nœuds centraux RCS ne valident pas efficacement l’identité de l’utilisateur, ce qui permet l’usurpation d’identité de l’appelant et la fraude via l’injection de messages SIP
– Les smartphones compatibles VoWiFi exposent les utilisateurs au nouveau capteur IMSI basé sur le WiF