Facebook Messenger : une faille « boîte à chat malicieux » découverte

Ce qui apparaît sur Facebook Messenger n’est pas ce que j’ai écrit. C’est le genre de mésaventure qui pouvait arriver avec l’app de messagerie instantanée aux 900 millions d’utilisateurs actifs dans le monde.

Check Point, éditeur de solutions et d’appliances de sécurité IT, a découvert une vulnérabilité dans Facebook Messenger désormais colmaté.

Le pirate était en mesure de s’introduire sur le compte d’un membre et de modifier le contenu : message, photo, fichier, lien, etc. La faille « MaliciousChat » était susceptible de transformer Facebook Messenger en vecteur de fraude ou d’infection malware comme des ransomware.

« En exploitant cette vulnérabilité, les pirates pouvaient changer un fil entier de discussion sans que la victime prenne conscience de ce qui se passait. C’est pire. Le pirate était également en mesure d’installer des dispositifs automatiques de modifications des éléments sur le fil en contournant les mesures de sécurité », précise Oded Vanunu, Responsable de la recherche sur les vulnérabilités des produits chez Check Point.

Dans sa contribution blog dédiée, l’éditeur précise que son chercheur Roman Zaikin a trouvé un moyen de détecter les paramètres de tout « message_id » c’est-à-dire la clé de tout message diffusé via Facebook Messenger. Une fois que l’on dispose de ce précieux sésame, il est possible de modifier les contenus des messages diffusés via cet outil de communication interpersonnelle.

Le pirate doit viser un membre en particulier. Une fois le contact établi légitimement (avec un message du genre « salut » pour indiquer qu’un membre Facebook Messenger cherche à en joindre un autre), il est en mesure de récupérer les identifiants des messages diffusés par la victime, de stocker les éléments via un proxy et de lancer ses requêtes détournées.

Plus inquiétant, par le biais d’une technique d’automatisation visant à repousser en permanence les leviers de sécurité IT (même réactualisés), l’assaillant était en mesure de maintenir son canal de commandement et de contrôle (command & control server) en état d’activité permanente. Ce qui lui permettait de poursuivre ses méfaits sans être inquiet.

L’équipe de Facebook a réagi rapidement à ce proof of concept (POC) en colmatant la brèche dans son outil de messagerie instantanée populaire (versions Web ou app mobile). Mais aucune attaque dans ce sens n’a été recensée, selon Check Point et Facebook.

Voir la vidéo YouTube du POC de Check Point sur Facebook Messenger :