Хакер нашёл простой способ красть переписку пользователей WhatsApp на Android

Любое приложение для Android, установленное пользователем, может красть содержимое его переписки в WhatsApp. Об этом заявил в своём блоге технический консультант Бас Боссхерт (Bas Bosschert).

Боссхерт по просьбе своего брата изучал возможность красть переписку пользователя в WhatsApp. Он установил, что в Android-версии приложения все диалоги хранятся в файле, размещённом на флеш-карте смартфона.

По словам хакера, любое стороннее Android-приложение, установленное пользователем, может получить доступ к этому файлу и отправить его на удалённый сервер. Для этого разработчик должен внедрить небольшой код, осуществляющий эту операцию, а также прописать у своего приложения разрешения на доступ к SD-карте и выход в интернет.

Во время загрузки базы данных WhatsApp мы будем показывать простой экран загрузки, так что люди будут думать, что приложение делает что-то интересное в фоне.Бас Боссхерт

Боссхерт отмечает, что пользователь не увидит никаких предупреждений о том, что приложение получило доступ к его данным и отправило их куда-то. Попытаться отследить подозрительное поведение можно только на этапе установки: тогда операционная система показывает все разрешения, которые запрашивает программа. Однако доступ к карте памяти и выход в интернет используются во множестве случаев — например, для хранения своих данных и подгрузки таблицы победителей в игре.

Файлы с переписками пользователей WhatsApp, рассказывает хакер, хранятся в папке /WhatsApp/Databases/ и бывают двух видов. В старых версиях приложения диалоги хранились в открытом виде — просто как SQL-база данных, которую при желании можно сконвертировать в таблицу для Excel.

Обновлённая версия мобильного мессенджера хранит историю сообщений в зашифрованном состоянии (файл имеет вид msgstore.db.crypt). Однако расшифровать такой документ можно с помощью скрипта на языке Python из 11 строк. Кроме того, один из читателей Боссхерта предложил консольную команду из одной строки, которая также позволяет преобразовать зашифрованный файл переписки в обычную SQL-базу.

Мы можем заключить, что каждое приложение может прочитать базу данных WhatsApp, и что также можно читать переписки из зашифрованных баз. Facebook не нужно было покупать WhatsApp, чтобы прочитать ваши переписки.Бас Боссхерт

Вопросы безопасности WhatsApp поднимались и ранее (так, в октябре 2013 года нидерландский студент выяснил, что входящие и исходящие сообщения шифруются одним ключом), но внимание исследователей к мобильному мессенджеру повысилось после покупки его соцсетью Facebook. В феврале 2014 года Марк Цукерберг объявил, что приобретает WhatsApp за 16 миллиардов долларов, однако сохранит мессенджер как самостоятельный продукт.