WhatsApp : popularité rime avec insécurité ?

Les pirates informatiques préfèrent-ils les applications les plus populaires ? Difficile de ne pas le supposer en examinant le cas de WhatsApp, qui a franchi, au dernier pointage officiel de septembre 2015, le cap des 900 millions d’utilisateurs.

Voilà quelques semaines, l’alerte était donnée concernant un malware glissé dans une fausse mise à jour et destiné à voler des données bancaires en faisant croire à un renouvellement d’abonnement.

L’année 2016 débute avec une affaire de phishing sur laquelle la firme américaine Comodo attire l’attention.

L’opération n’est semble-t-il pas ciblée, mais le mode opératoire est classique : une souche malveillante est dissimulée dans un fichier .zip envoyé en tant que pièce jointe dans un e-mail qui paraît provenir des équipes de WhatsApp.

Pour convaincre les utilisateurs d’ouvrir l’archive, le sujet du message est soigné. Diverses formules sont employées, généralement pour signaler la réception d’un message vocal ou vidéo.

Plusieurs éléments peuvent toutefois mettre la puce à l’oreille des victimes. En premier lieu, le fait que le titre se termine systématiquement par une chaîne de caractères (de type « Xgod », « Jsvk », « Ydkpda »…), sans doute pour identifier les destinataires qui tomberaient dans le panneau.

Ensuite, l’adresse de l’expéditeur n’a rien à voir avec WhatsApp. Enfin, il faut se rappeler que l’application n’envoie pas d’e-mail en cas de réception d’un message : l’utilisateur est averti par une notification.

Le malware en question est une variante de Nivdort, un cheval de Troie qui aspire quantités d’informations personnelles. Il est capable de se répliquer dans différents dossiers système et de programmer son exécution automatique dans le registre.

Dépassement de capacité

Autre attaque, autres conséquences. Le dénommé Indrajeet Bhuyan, qui se présente comme un blogueur et chercheur en sécurité IT âgé de 18 ans, est parvenu à faire planter WhatsApp sur Web et mobile… en la saturant d’emojis.

Dans une contribution blog, il explique que WhatsApp accepte « jusqu’à 6 500 – 6 600 caractères par message », mais qu’après avoir entré « 4 200 à 4 400 emojis », le navigateur se bloque, aussi bien sous Firefox que sous Chrome.

Mêmes symptômes pour l’application Android sur l’ensemble des dernières versions de l’OS (KitKat, Lollipop, Marshmallow) : on ne peut plus ouvrir la discussion ; il faut la supprimer – confer la vidéo ci-dessous, les tests ayant été effectués sur un Motorola Moto E 1^re génération (1 Go de RAM), un Asus ZenFone 2 Laser (2 Go) et un OnePlus 2 (4 Go).

Crédit photo : 10 FACE – Shutterstock.com