Onderzoekers konden WhatsApp- en Telegram-accounts zomaar overnemen met kwaadaardige foto

Gebruik je de webversie van WhatsApp of Telegram? Dan zul je extra oppassend moeten zijn, want beveiligingsonderzoekers hebben een lek gevonden in de webapps van beide diensten. Door een kwaadaardige afbeelding te versturen konden de onderzoekers volledige toegang krijgen tot WhatsApp- en Telegram-accounts.

Webversies WhatsApp en Telegram zijn lek

Je vraagt je misschien af: waarom halen dergelijke chatdiensten de bijlagen die gebruikers uitwisselen niet door een virusscanner? Maar dat is onmogelijk, vanwege de end-to-end encryptie die beide diensten gebruiken. Daardoor kunnen de makers van WhatsApp en Telegram de inhoud van de gemanipuleerde afbeelding niet versturen. Bij WhatsApp zijn alle berichten standaard versleuteld, bij Telegram is het optioneel.

De hack werkt als volgt: een aanvaller stuurt een gemanipuleerde afbeelding naar een gebruiker. Die klikt erop en activeert daarmee ongemerkt kwaadaardige code. De aanvaller krijgt volledige toegang tot de chatgeschiedenis en fotos’ van respectievelijk WhatsApp en Telegram. Ook kan de kwaadaardige afbeelding verder verspreid worden naar andere gebruikers in het adresboek van het slachtoffer.

De afbeelding die de onderzoekers van Check Point gebruikten zag eruit als een normale afbeelding, maar leidde gebruikers naar een HTML-pagina vol malware. Deze pagina achterhaalde lokaal opgeslagen data, waarbij aanvallers het account konden overnemen. In theorie hadden ze daarmee controle over miljoenen accounts kunnen krijgen.

Kwetsbaarheden inmiddels opgelost
In het geval van WhatsApp moest een gebruiker de toegestuurde foto bewust openen. Daardoor is het lek minder geschikt voor botnets en andere geautomatiseerde toepassingen van malware. Bij Telegram moest de gebruiker nog iets meer stappen uitvoeren, namelijk het openen van een video in een apart Chrome-tabblad. Volgens de onderzoekers is dat niet gebruikelijk.

Inmiddels is het grootste gevaar geweken. De kwetsbaarheden werden op 8 maart doorgegeven aan WhatsApp en Telegram en zijn inmiddels opgelost. Juist het feit dat end-to-end encryptie wordt gebruikt maakt het lastiger om kwaadaardige bijlagen te onderscheppen, omdat de betroffen bedrijven niet weten wat jij uitwisselt.