شرکت امنیتی سیمانتک (Symantec) از وجود حفره‌ای امنیتی در پیام‌رسان‌های واتس‌اپ و تلگرام خبر داده که هکرها می‌توانند با سوءاستفاده از آن به فایل‌های فرستاده شده بین کاربران دسترسی داشته باشند و در آن‌ها تغییر ایجاد کنند.

بر اساس این هر دو پیام‌رسان واتس‌اپ و تلگرام به واسطه رمزنگاری پیام‌ها و نگهداری امن داده‌های کاربران مشهورند، اما طبق گزارش سیمانتک، این مشکل امنیتی در هر دوی آن‌ها دیده شده است.

در سیستم‌عامل اندروید، اپلیکیشن‌هایی مانند پیام‌رسان‌ها می‌توانند فایل‌های تصویری و صوتی را در حافظه داخلی گوشی ذخیره کنند که تنها همان اپلیکیشن به این حافظه دسترسی دارد. اما اغلب اپلیکیشن‌ها از حافظه جانبی برای ذخیره‌سازی و نگه‌داری داده‌ها استفاده می‌کنند که سایر اپلیکشن‌ها نیز به‌طور معمول امکان دسترسی به این حافظه را دارند.

اپلیکیشن واتس‌اپ به صورت پیش‌فرض داده‌ها را در حافظه جانبی تلفن‌های هوشمند ذخیره می‌کند و در مورد تلگرام نیز چنانچه قابلیت Save to Gallery (به معنی «ذخیره در گالری» گوشی) فعال باشد، از حافظه جانبی برای نگه‌داری فایل‌ها استفاده می‌شود.

تصویر متعلق به سیمانتک

طبق گفته محققان، این مشکل اجازه می‌دهد بدافزارهایی که به حافظه جانبی دسترسی دارند، به فایل‌های رسانه‌ای پیام‌رسان‌های تلگرام و واتس‌اپ دسترسی داشته باشند. به این معنی که حتی پیش از اینکه کاربر عکسی که به دستش رسیده را مشاهده کند، بدافزار به آن دسترسی داشته است. 

برای مثال تصور کنید که پیامی حاوی یک تصویر به یک گوشی آلوده فرستاده می‌شود، در این صورت یک هکر می‌تواند تصویر دریافتی را بدون اینکه دریافت‌کننده حتی متوجه شود تغییر دهد. در تئوری، هکر یاد شده امکان دست‌کاری فایل‌هایی را که از گوشی آلوده فرستاده می‌شود نیز دارد.

در ویدیوی بالا روند تغییر در تصویر فرستاده شده و دریافت تصویری دست‌کاری شده در گوشی تلفن گیرنده مشخص است.

پژوهشگران امنیت این حمله را «فایل‌دزدی» یا «Media File Jacking» نامیده‌اند. این یک ایراد امنیتی شناخته شده است که هکرها در بسیاری از موارد، از آن برای نقض حریم‌شخصی یا دسترسی‌های غیرمجاز در سیستم‌عامل اندروید سوءاستفاده می‌کنند. در صورت استفاده از حافظه جانبی گوشی که اغلب اپلیکیشن‌ها به صورت پیش‌فرض از آن استفاده می‌کنند، امکان دسترسی به عکس‌ها و سایر داده‌های موجود در گوشی کاربر وجود خواهد داشت.

محققان سال گذشته هم مشکل مشابهی را گزارش کرده بودند که از حافظه جانبی برای دسترسی به فایل‌های کاربران در تلفن‌های هوشمند سوءاستفاده شده بود.

یک سخنگوی واتس‌اپ در این خصوص گفته که تغییر فضای ذخیره‌سازی می‌تواند منجر به بروز محدودیت‌هایی برای قابلیت اشتراک فایل در بستر این پیام‌رسان شود و حتی ممکن است عامل بروز ایرادات جدیدی در حوزه حفاظت از حریم‌شخصی کاربران شود. 

این سخنگوی واتس‌اپ افزوده است: «واتس‌اپ به دقت در حال بررسی این مشکل است و این شبیه مشکلاتی است که پیش از این در مورد اثرپذیری اکوسیستم اپلیکیشن‌ها درباره محل ذخیره‌سازی فایل‌ها وجود داشته است. واتس‌اپ بهترین راهکار را بسته به سیستم‌عامل‌های مختلفی برای رفع این مشکل یافته و در به‌روز‌رسانی‌های بعدی آن‌ها را لحاظ خواهد کرد. کار بر روی آپدیت واتس‌اپ برای اندروید از هم‌اکنون آغاز شده است.»

تلگرام اما پاسخی فوری به درخواست توضیح در این رابطه نداده است.

محققان سیمانتک نسخه‌ای جعلی از تلگرام را با نام موبونوگرام (MobonoGram) در فروشگاه اپلیکیشن‌های اندروید (گوگل‌پلی) یافته‌اند که ادعا می‌کند نسخه‌ای از تلگرام با قابلیت‌هایی ویژه است. اما طبق بررسی‌های کارشناسان سیمانتک، این قابلیت‌های ویژه، بازدید از وب‌سایت‌های پورنوگرافی و کلاهبرداری است که حاوی کدهای مخرب است و می‌تواند منجر به کاهش سرعت گوشی کاربران و افزایش مصرف باتری در تلفن هوشمند آن‌ها شود.

این اپلیکیشن بیش از ۱۰۰ هزار بار از گوگل‌پلی دانلود شده است. هر چند که گوگل تایید کرده که این اپلیکیشن از فروشگاه گوگل‌پلی حذف شده و توسعه‌دهنده(های) آن هم از بارگذاری اپلیکیشن‌های خود در این فروشگاه منع شده‌اند.

کارشناسان سیمانتک از اپلیکیشن دیگری به نام واتس‌گرام (Whatsgram) نیز یاد کرده‌اند که حمله مشابهی را از سوی توسعه‌دهندگان موبونوگرام انجام می‌داده است. به گفته سیمانتک، این شرکت از دی‌ ۱۳۹۷ تا اردیبهشت ۱۳۹۸ بیش از هزار و ۲۰۰ اپلیکیشن را مسدود کرده است که به این گروه توسعه‌دهنده مرتبط بوده‌اند. اغلب آلودگی‌های ناشی از این اپلیکیشن‌ها در کشورهای آمریکا، ایران و هند اتفاق افتاده است.

کاربران ایرانی، تلگرام را به سایر اپلیکیشن‌های پیام‌رسان ترجیح می‌دهند. اما محدودیت دسترسی به دلیل فیلترینگ، استفاده از اپلیکیشن‌های غیررسمی تلگرام را که اغلب به صورت بالقوه خطرناک هستند، در این کشور افزایش داده است.

طبق گفته پژوهشگران، کاربران عمدتا به اپلیکیشن‌هایی که از الگوریتم‌های رمزنگاری استفاده می‌کنند و «حفاظت سرتاسری را از هویت دو طرف تا محتوای فرستاده شده بین آن‌ها را انجام دهد»، اعتماد دارند.

با این حال، محققان در این گزارش نوشته‌اند: «همان‌طور که در گذشته هم اشاره کردیم، هیچ کدی در برابر آسیب‌های امنیتی [کاملا] امن نیست.»