L’attacco a WhatsApp che Meta continua a negare, Dal Checco: “Abbiamo prove compatibili con la violazione”

Da diversi giorni media e siti specializzati si stanno interessando di un misterioso attacco zero click che s'introduce negli account WhatsApp per inviare messaggi fraudolenti ai contatti più recenti. Lo abbiamo fatto anche noi di Fanpage.it, citando il lavoro certosino del team di cybersicurezza Forenser – tra i primi a scoprire e studiare questa criticità – e intervistando il tecnico informatico Antonio De Bortoli, che ha condotto un'indagine parallela integrando le proprie considerazioni a quelle già diffuse da Forenser. Proprio in seguito a questa intervista, si è creata un po' di confusione circa alcuni aspetti tecnici – ma decisamente rilevanti – dell'intera analisi.

I più importanti riguardano il vettore dell'attacco, ossia la modalità con cui i misteriosi hacker riescono a introdursi negli account, e la creazione della sessione parallela – invisibile al legittimo proprietario del profilo –  con la quale i malintenzionati inviano le ingannevoli richieste di denaro. Secondo i ricercatori di Forenser, simili vulnerabilità sono state effettivamente individuate, anche se Meta ha negato la presenza di qualsiasi attacco.

Per chiarire una volta per tutte la situazione, Fanpage.it ha quindi contattato Paolo Dal Checco, perito informatico forense che ha lavorato con il team di Forenser per scoprire i meccanismi dietro questa sofisticatissima truffa informatica.

Come è avvenuto l'attacco

Dal Checco ci ha spiegato che l'approfondita analisi dei codici ha rivelato come gli attaccanti siano riusciti a violare decine di account utilizzando un problema presente nell'applicazione di messaggistica.

"Per penetrare all'interno di WhatsApp, gli attaccanti sfruttano alcune vulnerabilità legate alle librerie di gestione delle immagini", afferma l'esperto. "Si tratta in particolare di due falle già segnalate e patchate in passato, che però sono state riciclate quest'anno, probabilmente con piccole modifiche, facendo leva sul fatto che molti utenti non avevano ancora aggiornato l'applicazione. L'ingresso avviene quindi in modo silente tramite la ricezione di un file immagine modificato".

La seconda grande domanda a questo punto è: una volta che gli attaccanti sono entrati, come fanno a prendersi la sessione WhatsApp? Pur elogiando il lavoro di De Bortoli, Dal Checco tiene a precisare anche questo interrogativo è stato risolto.

"Il meccanismo non prevede una disconnessione forzata dell'utente, ma una coesistenza invisibile. Gli attaccanti riescono a estrarre la chiave privata di WhatsApp, memorizzata nel dispositivo. Con questa chiave in mano, i malintenzionati possono clonare l'identità dell'utente e autenticarsi temporaneamente sui loro sistemi", chiarisce l'informatico.

"È un po' come se qualcuno vi rubasse o copiasse la chiave di casa: non vi ha sottratto l'immobile, ma ha la possibilità di entrarci ogni volta che voi non ci siete, comportandosi a tutti gli effetti come il legittimo proprietario".

La segnalazione a Meta, che però nega

Nel corso della nostra chiacchierata, Dal Checco ci ha raccontato di non poter diffondere troppi dettagli perché una decina di giorni fa Forenser ha inviato a Meta una responsible disclosure, ossia un documento inviato direttamente all'azienda sviluppatrice che segnala una falla del sistema, dandole così il tempo di risolvere il problema: "In sostanza abbiamo capito tutto da un po', ma abbiamo promesso di non dire nulla". Ora la prassi prevede un periodo di moratoria di 90 giorni dall'invio della segnalazione prima di poter diffondere tutti i dettagli tecnici.

Per il momento però, Meta non sembra intenzionata ad ammettere alcunché. Attraverso un portavoce di WhatsApp, dopo la pubblicazione dell'analisi di De Bortoli, l'azienda ha fatto pervenire ai media che si sono occupati della vicenda (Fanpage.it inclusa), una breve dichiarazione: "Queste affermazioni infondate non si basano su alcuna evidenza tecnica. Gli stessi ricercatori chiariscono di non aver trovato alcun vettore di infezione e che non vi è alcuna prova che un attacco sia effettivamente avvenuto".

Dal Checco tiene però a mantenere il punto: "Nella nostra segnalazione, datata 26 maggio, è spiegato per filo e per segno come gli attaccanti riescano a clonare gli account. Non solo abbiamo dimostrato l'incursione ma siamo anche riusciti a riprodurla noi". Già l'anno scorso alcuni ricercatori avevano rilevato una falla praticamente identica – sia per il vettore delle immagini manipolate, sia per l'accesso alle sessioni di chat –  e che WhatsApp aveva comunicato di aver sistemato.