Animirani GIF-ovi s predinstaliranim malwareom, hakerski napadi pomoću glasovnog poziva, društveni inženjering i otimanje fotografija glavni su uzročnici glavobolja brojnim vlasnicima WhatsAppa. Niste čuli za ove vrste napada? Saznajte više u našem vodiču.

Opasni GIF-ovi

GIF-ovi su danas, bez dvojbe, jedan od najčešćih načina vizualne komunikacije na smartfonima - od društvenih mreža, preko foruma, pa sve do posebnih aplikacija za čavrljanje. Zamislite da vam netko pošalje GIF u kojem vam želi sretan rođendan, dobro jutro ili nešto treće, samo da bi vam pomoću njega provalio u smartfon.

Prema objavi Hacker Newsa, to je doslovno izvedivo - ili je bilo do trenutka kada je Facebook odlučio sve zakrpati i samim time spriječiti poplavu inficiranih GIF-ova. Problem je, doduše, što je do te zakrpe trebalo tri mjeseca tijekom kojih su vlasnici popularne aplikacije za čavrljanje bili ranjivi na hakerske napade GIF-om kojima su se od vlasnika Androida mogli krasti podaci i poruke. Vlasnici iOS-a su imuni na ovu vrstu napada.

Ova ranjivost je pronađena u WhatsAppu i to verzijama starijima od 2.19.230., a funkcionira na Androidu 8.1 i 9.0, no ne radi na Androidu 8.0 ili ranijim verzijama. Najbolja zaštita? Konačno nadogradite svoj WhatsApp.

Pegasus

Spyware NSO Pegasus može uključiti kameru i mikrofon pametnog telefona te prikupljati podatke iz e-pošte, poruka i o lokaciji, a moguće ga je aktivirati pukim pozivom žrtvi. Instalira se bez traga, čak i ako ne odgovorite na propušteni poziv.

U WhatsAppu su u trenutku otkrića priznali postojanje sigurnosnog propusta te pozvali svojih 1,5 milijardi korisnika diljem svijeta na hitno ažuriranje na najnovije izdanje aplikacije kako bi ga zakrpali. Propust je otkriven početkom svibnja ove godine, a među žrtvama je bio i britanski odvjetnik koji se bori za ljudska prava. Iza napada, kojeg su u WhatsAppu uspjeli blokirati, prema dostupnim dokazima i optužbama, stoji tajnovita izraelska privatna tvrtka NSO.

Društveni inženjering

Dok phishing zlorabi nepažnju i ljudsku psihu kako bi krao informacije, društveni inženjering, širi dezinformacije i služi za krađu korisničkih podataka. Sigurnosna kompanija Check Point Research otkrila je jedan takav napad kojeg su nazvali FakesApp koji je omogućio napadaču da koristi citate u grupnim razgovorima kako bi ubacio tekst u tuđi odgovor.

Drugim riječima, hakeri njime mogu lažne izjave pripisivati legitimnim korisnicima, a za pristup uređaju koristi se dekripcija WhatsAppove komunikacije, što im je omogućilo da šalju poruke između web verzije i mobilne verzije WhatsAppa. Prema izvješću ZNeta, za propust se zna od 2018., ona je ostala nezakrpana sve do hakerske konferencije Black Hat održane u New Vegasu gdje je ciljano širenje lažnih vijesti putem WhatsAppa bilo jedna od vrućih tema među sigurnosnim stručnjacima.

'Otimanje' medijskih datoteka

Media file jacking zajednička je ranjivost WhatsAppa i Telegrama. Riječ je o napadu koji zlorabi način na koji ove aplikacije primaju medijske datoteke poput fotografija i videa te ih pohranjuju u mapu na vašem uređaju.

Napad počinje instalacijom zloćudnog softvera skrivenog unutar naoko bezazlene aplikacije. Malware nakon toga može pratiti dolazeće podatke koji stižu u Telegram ili WhatsApp gdje u trenutko dolaska slike ili videa zamijeni original za lažnu datoteku. Opasnost je prvo otkrio Symantec, a moguće ju je zaustaviti odlaskom u postavke zaprimljenih datoteka i gašenjem automatskog skidanja medijski datoteka na uređaj.