WhatsApp no gana para disgustos. La aplicación de mensajería ha sufrido ya dos graves vulnerabilidades que permitían a un atacante espiar los mensajes y todos los datos personales de un móvil Android. Ahora, un nuevo fallo descubierto en la app permitía inutilizar la aplicación a cualquier usuario que esté en un grupo.

Enésimo fallo de WhatsApp en 2019

Check Point Research ha encontrado la manera de aprovecharse de este fallo a través de manipular el protocolo de WhatsApp utilizando una herramienta desarrollada por ellos mismos sin que se modifique el cifrado de punto a punto. Esta herramienta fue usada para modificar mensajes de WhatsApp antes de ser enviados, y ahora han descubierto que también pueden aprovecharla para hacer que la app se cuelgue en los móviles de los usuarios.

El proceso no es demasiado complejo, y Check Point lo detalla al completo en su blog. Tan sólo hay que abrir WhatsApp Web en Chrome con las herramientas de desarrollo, obtener el parámetro que se genera cuando se escanea el código QR, y crear un servidor local con Python con los archivos que han dispuesto en su GitHub. A partir de ahí, ya se obtienen las claves de cifrado para poder descifrar y modificar cualquier conversación en la que participemos, incluyendo nuestros mensajes.

El fallo afecta al protocolo de comunicación XMPP (Extensible Messaging and Presence Protocol), usado por mensajería instantánea. En el proceso se busca modificar la variable «participante» para que no aparezca un número de teléfono (el nuestro en este caso), sino un texto que no tenga números, como [email protected].

El mensaje se ve como en la siguiente foto, donde se cambia el nombre del «participante» (en este caso nosotros), y eso hace que la aplicación se cuelgue en todos los móviles de cualquier miembro del grupo.

Si recibimos el mensaje modificado, entramos en un ciclo de bloqueo interminable

Si intentamos volver a abrir la aplicación, ésta volverá a colgarse, emplazándonos en una serie continua de cuelgues. Además, todos los mensajes, archivos y datos compartidos se perderán porque es necesario reinstalar la aplicación desde cero. Es posible que podamos recuperar los que tengamos almacenados en un backup, pero perderemos todo lo que haya acontecido entre la última copia de seguridad y la recepción del mensaje modificado.

En el siguiente vídeo podemos ver un resumen del proceso:

Como vemos, cualquier persona que entre en un grupo puede hacer que la app se cuelgue para hasta los 256 miembros que aceptan actualmente los grupos en WhatsApp.

El fallo fue parcheado en la versión 2.19.246 beta lanzada el 5 de septiembre y en la 2.19.258 lanzada en el canal estable el 20 de septiembre, por lo que deberás actualizar a cualquier versión posterior para solucionar el fallo y evitar que alguien pueda hacer que tu instalación de WhatsApp se cuelgue.