Check Point Research, der Cyber-Security-Forschungsarm von Check Point Software Technologies, einem weltweit führenden Anbieter von Cyber-Sicherheitslösungen, hat vor Kurzem eine Schwachstelle in WhatsApps Gruppenchat gefunden und gleich dabei geholfen, die Sicherheitslücke zu entschärfen.

Die Schwachstelle hätte es einem Hacker ermöglicht, eine Gruppen-Chatnachricht zu senden, welche die App für alle Mitglieder der Gruppe zum Absturz bringt. Um WhatsApp wieder zu nutzen, hätten die Benutzer es deinstallieren und neu installieren sowie dann die Gruppe löschen müssen, welche die Nachricht enthält.

Um die bösartige Nachricht zu erstellen, musste der Angreifer ein Mitglied der Zielgruppe sein (WhatsApp erlaubt bis zu 256 Benutzer pro Gruppe). Von dort aus konnte er WhatsApp Web und das Debugging-Tool seines Webbrowsers verwenden, um bestimmte Nachrichtenparameter zu bearbeiten und den bearbeiteten Text an die Gruppe zu senden. Diese bearbeitete Nachricht führte dann zu einer Absturzschleife für Gruppenmitglieder und verwehrte den Benutzern den Zugriff auf alle WhatsApp-Funktionen, bis sie WhatsApp neu installieren und die Gruppe mit der Nachricht löschen.

«WhatsApp ist eine der weltweit führenden Kommunikationskanäle für Verbraucher, Unternehmen und Behörden. Die Möglichkeit, die Nutzung von WhatsApp zu unterbinden und wertvolle Informationen aus Gruppen-Chats zu löschen, ist deshalb eine leistungsstarke Waffe für Angreifer», kommentiert Oded Vanunu, , die Schwachstelle. «Alle WhatsApp-Anwender sollten auf die neueste Version der App aktualisieren, um sich vor diesem möglichen Angriff zu schützen», empfielt er deshalb eindringlich.

Check Point Research hatte die Schwachstelle bereits im Sommer entdeckt und seine Ergebnisse am 28. August 2019 an das WhatsApp-Bug-Bounty-Programm weitergegeben. WhatsApp bestätigte die Ergebnisse und entwickelte einen Fix zur Behebung des Problems, der seit WhatsApp Versionsnummer 2.19.58 verfügbar ist. «WhatsApp hat schnell und verantwortungsbewusst reagiert, um den Schutz gegen die Ausnutzung dieser Schwachstelle zu gewährleisten», lobt Vanunu die WhatsApp-Entwickler.

Gemäss Ehren Kret, Software Engineer bei WhatsApp habe man dieses Problem für alle WhatsApp-Applikationen Mitte September gelöst. «Wir haben auch kürzlich neue Kontrollen hinzugefügt, um zu verhindern, dass Personen unerwünscht zu Gruppen hinzugefügt werden, um die Kommunikation mit nicht vertrauenswürdigen Parteien insgesamt zu vermeiden», fügt er an.

Das Check-Point-Research-Team fand die Schwachstelle, indem es die Kommunikation zwischen WhatsApp und WhatsApp Web, der Webversion der App, untersuchte. Letztere spiegelt alle vom Telefon des Benutzers gesendeten und empfangenen Nachrichten. Auf diese Weise konnten die Forscher die für die WhatsApp-Kommunikation verwendeten Parameter sehen und manipulieren. Diese neue Untersuchung baut auf den von Check Point Research entdeckten 'FakesApp'-Fehlern auf, die es ermöglichten, Gruppen-Chat-Nachrichten zu bearbeiten, um Fake News zu verbreiten.

Wie der Angriff funktioniert, zeigt folgendes Video:

Weitere Details zur WhatsApp-Schwachstelle haben die Virenjäger von Check Point in diesem Dokument zusammengefasst.