تقرير: ثغرة أمنية تسمح بتغيير الصور المرسلة دون علم المُرسل

إذا كنت تعتقد أن منصات المراسلة الفورية مثل “واتساب WhatsApp” و”تيليجرام Telegram“، التي توفر تشفيرًا من طرف إلى طرف تمنحك أمانًا قويًا، فعليك أن تفكر مرة أخرى.

وكشف باحثون من شركة الأمن السيبراني “سيمانتيك Symantec” يوم الاثنين، عن ثغرات أمنية سمحت للمخترقين بالتعامل مع الصور وملفات الصوت التي تتلقاها على هذه المنصات.

وقال باحثون من سيمانتيك في منشور بالمدونة، إن ثغرة الأمان التي يطلق عليها اسم”Media File Jacking” ، أثرت على تطبيق واتساب وتيليجرام اللذان  يعملان على نظام التشغيل “أندرويد Android“، إذا تم تمكين بعض المميزات.

ووفقًا للباحثين، يقوم واتساب بحفظ الملفات إلى وحدة التخزين الخارجية بشكل تلقائي، بينما يقوم تيليجرام بذلك عند تمكين ميزة “حفظ إلى معرض”. ومع ذلك، لا يوجد أي تطبيق في أي مكان لحماية المستخدمين من هجوم Media File Jacking.

يمكن للمهاجمين استغلال هذه الثغرة الأمنية للاحتيال على الضحايا بطرق مختلفة:

وكتب مهندس البرمجيات “ألون جات ويائير أميت”، نائب رئيس شركة الأمن السيبراني “سيمانتيك Symantec” وكبير مسؤولي التكنولوجيا: “إذا تم استغلال الثغرة الأمنية، يمكن للمخترقين إساءة استخدام ومعالجة المعلومات الحساسة، مثل الصور ومقاطع الفيديو الشخصية ووثائق الشركات والفواتير والمذكرات الصوتية”.

ولإعطاء مثال على التلاعب بالصور، قال الباحثون إن أي تطبيق قام المستخدم بتنزيله يبدو له بريئا يمكن أن يشكل خطرا عليه، حيث أن هذا التطبيق يمكن أن يتعامل مع الصور الشخصية في وقت شبه حقيقي ودون معرفة الضحية.

ويعمل التطبيق في الخلفية ويقوم بتنفيذ هجوم على ملف “Media Jacking”، وذلك أثناء قيام المستخدم باستعمال تطبيق واتساب، حيث يقوم المخترق بمراقبة الصور التي يتلقاها المستخدم من خلال التطبيق، ويحدد الوجوه في الصور، ويستبدلها بشيء آخر، مثل الوجوه أو الكائنات الأخرى.

ولتوضيح أكثر أثناء قيام المستخدم بإرسال صورة عائلية إلى أحد جهات الاتصال الخاصة به، تصل إلى المتلقي صورة معدلة، في حين أن هذا الهجوم قد يبدو مزعجا، إلا أنه يُظهر إمكانية التلاعب بالصور أثناء ارسالها.

وكتبت جات وأميت: “في واحدة من أكثر هجمات إلحاق الضرر بملف الوسائط، يمكن للمخترق أن يتلاعب بفاتورة أرسلها بائع إلى عميل، لخداع العميل بإجراء عملية دفع لحساب غير شرعي”.

وكشفت تقارير شهر مايو أن خللًا في ميزة الاتصال الصوتي في واتساب قد سمح للمخترقين بتثبيت برامج التجسس على الهواتف التي تعمل على أندرويد و iOS فقط من خلال الاتصال بالهدف. وبحسب ما ورد تم تطوير برنامج التجسس بواسطة شركة استخبارات إلكترونية تابع لإسرائيل NSO Group.

وقال واتساب إنه حدد مشكلة عدم الحصانة التي يمكن أن تسمح للمخترقين بإدخال وتنفيذ التعليمات البرمجية على الأجهزة المحمولة وتثبيتها على الفور.