La división de ciberseguridad de Symantec acaba de dar a conocer una vulnerabilidad que afecta tanto a WhatsApp y Telegram en Android, la cual permite que atacantes puedan tener acceso a archivos multimedia que se envían y reciben en las aplicaciones, lo que hace que queden expuestos e incluso puedan ser manipulados.
La vulnerabilidad denominada "Media File Jacking" se presenta entre el momento en el que se envía un archivo y el tiempo que se recibe, y puede afectar tanto al remitente como al receptor a través de un malware que se instala en el smartphone de la víctima.
La vulnerabilidad sólo afectaría a Android
Según explica Symantec, la vulnerabilidad se presenta durante el momento en que los archivos multimedia recibidos a través de las aplicaciones se escriben en la memoria externa del smartphone y el momento en que se cargan en la interfaz de usuario, el chat de las aplicaciones, para que los usuarios los vean.
Durante este momento, los atacantes pueden acceder a los archivos que se guardan en el almacenamiento externo del smartphone, ya que se trata de un directorio público al que cualquier otra aplicación puede acceder tras solicitar permiso al usuario.
Para entender esto cabe destacar que Android tiene la capacidad de almacenar archivos y datos en dos ubicaciones de almacenamiento: almacenamiento interno y externo. Cuando se usa el interno, los archivos sólo están accesibles para la propia aplicación, lo que significa que otras aplicaciones no pueden acceder a ellos. Por el contrario, en el caso del almacenamiento externo, los archivos son legibles y se pueden modificar por otras aplicaciones o usuarios, quedando fuera del control de la aplicación que los guardó/generó en primer lugar.
WhatsApp guarda los archivos de forma predeterminada en el almacenamiento externo dentro de la ruta '/storage/emulated/0/WhatsApp/Media/'. Por otro lado, Telegram lo hace sólo si el usuario activa la función "Guardar en Galería", y los archivos se almacenan en '/storage/emulated/0/Telegram/'. Es decir, ambos son directorios públicos que están accesibles a cualquier otra aplicación con permisos para usar la memoria externa.
La clave aquí es el permiso de Android conocido como "WRITE_EXTERNAL_STORAGE", según Symantec, que permite en tiempo real leer los archivos que se guardan en la memoria externa del dispositivo, esto sin importar que no pertenezcan a la app que está teniendo acceso a ellos.
Con todo lo anterior en mente, el ataque funcionaría de la siguiente manera:
- El usuario descarga una aplicación con el malware a la que le da el permiso de acceder a la memoria externa de su smartphone.
- Cuando un archivo, proveniente de WhatsApp o Telegram, se recibe/envía y se guarda en el almacenamiento, la app maliciosa tiene acceso a él antes de que se muestre en el chat del receptor.
- Una vez teniendo el archivo, que puede ser cualquier documento como fotos, vídeos, mensajes de voz o PDFs, el malware puede analizarlo y modificarlo en tiempo real, hasta sustituirlo, para ahora mostrarlo al destinatario.
Con esto, el receptor verá un archivo modificado del que no dudará debido a la confianza que existe con la persona con la que interactúa y no levantará sospechas. A esto hay que sumar que los usuarios confían en aplicaciones de mensajería como WhatsApp y Telegram, y las suelen usan como herramientas para enviar documentos importantes, según afirma Symantec.
Aquí hay que destacar que el cifrado de extremo a extremo es eficiente y sirve para proteger las comunicaciones, pero de nada sirve si la vulnerabilidad es a nivel código dentro del sistema operativo.
Cómo protegerse
Aquí la recomendación es desactivar el guardado automático de archivos tanto en WhatsApp como en Telegram. Ya mencionamos que en el caso de WhatsApp la app lo hace en automático, por lo que hay que ir a la opción 'Chats' dentro del menú de configuración y desactivar la opción 'Visibilidad de medios'.
En el caso de Telegram, está función no está activada por defecto, pero en caso de tenerla activada lo mejor es deshabilitarla en la opción de 'Configuración de Chats' > 'Guardar en Galería'. Con esto, cada vez que recibamos un archivo éste no se guardará en nuestro dispositivo hasta que decidamos descargarlo dentro del chat, lo que impedirá en cierta medida que el malware, en caso de que esté presente en el smartphone, pueda actuar de inmediato.
Aun así, se recomienda verificar los datos del archivo con el receptor para estar seguros de lo que se está recibiendo, y en la medida de los posible usar otros canales para enviar documentos confidenciales o con información privada.
Ver 18 comentarios