WhatsApp-Schwachstelle: FakesApp ermöglicht Manipulation von Textnachrichten

Checl Point findet nach eigenen Angaben eine Schwachstelle Messenger-Dienst

[datensicherheit.de, 08.08.2018] Das Research-Team von Check Point® Software Technologies Ltd. veröffentlicht heute Details zu FakesApps, einem Schwachpunkt in WhatsApp. Dabei gelang es Check Point nach eigenen Angaben, WhatsApp-Nachrichten von Nutzern zu manipulieren.

Im Rahmen der Untersuchung wurden drei Angriffsmöglichkeiten gezeigt:

• Die Veränderung einer gesendeten Antwort, sodass dem Absender falsche Worte in den Mund gelegt werden.
• Abgabe einer gefälschten Antwort in einem Gruppenchat. Die zitierte Person muss dabei nicht einmal in der Gruppe Mitglied sein.
• Versendung einer persönlichen Nachricht in einem Gruppenchat, die für den Empfänger wie eine Gruppennachricht an alle Mitglieder aussieht – jedoch nur für ihn sichtbar ist. Wenn diese Person auf die gefälschte Nachricht antwortet, ist seine Antwort aber für alle Gruppenmitglieder sichtbar.

Betroffen sind alle 1.8 Milliarden WhatsApp-Nutzer weltweit. Besonders in WhatsApp-Gruppen bieten sich zahlreiche Betrugsmöglichkeiten. Man schätzt, dass es aktuell mehr als eine Milliarde solcher Gruppen gibt. Jeden Tag werden etwa 65 Milliarden WhatsApp-Nachrichten versendet.

Check Point fand die Schwachstelle über WhatsApp-Web und konnte dort Details zur Verschlüsselung ausspähen. Den Forschern war es möglich, über eine Extension des genutzten protobuf2-Protokolls die genannten Exploits auszuführen. Zwar startete der Angriff über WhatsApp-Web, für die Opfer ist die genutzte Plattform aber kein Faktor. Die User der Mobile App sind ebenfalls betroffen.

„Die Öffentlichkeit vertraut in die Integrität einer jeden Nachricht“, sagt Oded Vanunu, Head of Products Vulnerability Research bei Check Point. „WhatsApp muss daher nachbessern, um diese einfache Manipulation zu unterbinden.“

Weitere Informationen zum Thema:

Check Poimt Research
FakesApp: A Vulnerability in WhatsApp

datensicherheit.de, 03.05.2018
WhatsApp-Nutzung durch Unternehmen im DSGVO-Kontext zumeist rechtswidrig

datensicherheit.de, 03.03.2018
OVG Hamburg bestätigt Verbot des Datenaustauschs zwischen WhatsApp und facebook