Deux failles de sécurité critiques ont été découvertes dans le code de l’application Android de WhatsApp. Elles permettent une attaque de phishing se transmettant par des messages envoyés via l’application.
C’est en cliquant sur une pièce jointe reçue dans un message que la victime livre ses données aux pirates. Les appareils les plus anciens sont visés, puisque les vulnérabilités concernent les téléphones sous Android 9 ou une version antérieure, selon des recherches de Census, une entreprise spécialisée dans la sécurité informatique, relayées par Phonandroid.
Un simple fichier html
En utilisant ces failles, les pirates peuvent lancer une attaque de type « Man in the Disk » sur le smartphone de la victime. Celle-ci va permettre de lancer un malware « qui va manipuler les données échangées entre une application Android et le stockage externe », précisent nos confrères. Dans cet espace externe, les pirates peuvent remplacer ou modifier des fichiers temporaires ou des mises à jour qui y sont stockées.
Pour lancer leur attaque, les pirates ont besoin que les victimes cliquent sur un fichier html envoyé par message. Une fois que l’utilisateur clique dessus, il est renvoyé sur une page du navigateur Chrome qui va permettre aux cybercriminels d’agir. L’attaque « peut conduire à la compromission des communications WhatsApp, à l’exécution de code à distance sur l’appareil victime et à l’extraction des clés de protocole utilisées pour le chiffrement de bout en bout des communications des utilisateurs », indique Census. Les pirates ont l’occasion d’installer les programmes malveillants qu’ils souhaitent.
Averti par Census, Facebook a corrigé les deux vulnérabilités. Pour se prémunir de ces attaques, les utilisateurs d’Android 9 et inférieur doivent mettre à jour l’application WhatsApp (version 2.21.4.18). Depuis Android 10, Google a fait le nécessaire pour empêcher ce type d’attaque.
