Sicurezza su WhatsApp

1. Funzionamento WhatsApp


2. Tecniche di hacking utilizzate


3. Come proteggerci

1. Software a pagamento


Questa tecnica è la più semplice e anche la più usata da utenti inesperti.
Sul web è facile trovare molti software che acquistati permettano di spiare la vittima.

CITAZIONE
Dopo il rilascio degli ultimi aggiornamenti, e in particolare dell’update 2.11.6 per iOS 7, i protocolli di sicurezza di Whatsapp sono stati rivisti per eliminare tutte le falle che permettevano agli utenti malintenzionati di spiare le conversazioni private. Nonostante questo sul web esistono ancora applicazioni che, a detta degli autori, consentirebbero di violare ugualmente la privacy degli utilizzatori di Whatsapp.

I software più celebri sono Whatsapp Hack, Whatsapp Spy e Whatsapp Sniffer. La domanda è: funzionano?

In questi casi la regola d’oro è quella di essere diffidenti nei confronti di qualsiasi applicazione a pagamento, perchè nella maggior parte dei casi si tratta di truffe escogitate ad hoc per spillare soldi agli utenti. Ad oggi Whatsapp Hack e Whatsapp Spy non funzionano, dunque è opportuno tenersene alla larga.


2. Intercettazione dati tramite wifi


Se ci si trova nei paraggi della rete wifi utilizzata dalla vittima si potranno utilizzare software per intercettare i dati in transito, questi software possono essere generici come Wireshark (intercetta tutto il traffico dati e sta all'utilizzatore decifrare le stringhe desiderate. Disponibile su www.techmucho.com ) oppure software gia previsti per intercettare i dati di whatsapp, come riporto qui di seguito

CITAZIONE
Whatsapp è Sniffer, software semplice e funzionale che viene comunemente impiegato per testare la sicurezza di Whatsapp. Dopo il rilascio dell’update 2.11.6 per iOS 7, i protocolli di sicurezza sono stati rivisti per eliminare tutte le falle che permettevano agli utenti malintenzionati di spiare le conversazioni private.

Nonostante questo sul web esistono ancora applicazioni che, a detta degli autori, consentirebbero di violare ugualmente la privacy degli utilizzatori


3. Intercettazione dati tramite internet


Le intercettazioni tramite internet, rimandano al grosso campo dell'hacking che spiega come entrare in n pc, telefono, tramite backdoor, oppure metodi per come intercettare pacchetti internet inviati e ricevuti tramite qualunque modem (compreso quello del vostro cellulare)


4. Login da altro dispositivo con numero di telefono della vittima


Esiste anche il metodo di connettersi a distanza anche di miliaia di kilometri a un accont whatsapp, questo tramite script che riescono a ricavare la password assegnata ad ogni account dal server di whatsap, riporto qui di seguito un esempio


CITAZIONE
AGGIRARE LA SICUREZZA DI WHATSAPP

Ogni utente che vuole inviare un messaggio o verificare se ha dei messaggi da leggere si autentica sui server attraverso una “password” generata automaticamente dal software. La password è però facilmente riconducibile perché si basa sul codice IMEI degli Smartphone non Apple o del MAC Address per gli utenti Apple.

Generazione della Password per i dispositivi Android:

$imei = “112222223333334″; // IMEI di esempio $androidWhatsAppPassword = md5(strrev($imei)); // calcolo della Password (inversione dell’IMEI e generazione del MD5)
Generazione della Password per i dispositivi iOS a cura di Ezio Amodio:

$wlanMAC = “AA:BB:CC:DD:EE:FF”; // WLAN MAC address di esempio $iphoneWhatsAppPassword = md5($wlanMAC$wlanMAC); // calcolo della Password
Generazione della Password per i dispositivi BlackBerry:

$imei = “112222223333334″; // IMEI di esempio $BBWhatsAppPassword = md5(strrev($imei)); // calcolo della Password (inversione dell’IMEI e generazione del MD5)
Per i dispositivi BB non è possibile avviare una conversazione interattiva, il servizio BIS vi scollegherà una volta inviato il primo messaggio rendendo impossibile la lettura della risposta.

Generazione della Password per i dispositivi Windows Phone a cura di Ezio Amodio:

$DeviceUniqueID = “112222223333334″ // ID del Dispositivo $WPWhatsAppPassword = $DeviceUniqueID // calcolo della Password
Per la lettura del vostro ID Dispositivo potete affidarvi all’applicazione gratuita Device Unique Id disponibile nel Market Place.

L’username è ancor più semplicemente il vostro numero di cellulare anteposto dal prefisso internazionale senza il simbolo + o il doppio zero (Es. 393481234567).



Siete utilizzatori di WhatsApp? Bene provate voi stessi ad autentificarvi, vi basterà aprire il vostro Browsere digitare il seguente URL:

https://r.whatsapp.net/v1/exist.phpcc=$...d=$password

Dovrete sostituire i campi $countrycode, $phonenumber e $password con i relativi dati ovvero il vostro codice paese (per l’Italia è il 39) senza il simbolo + o il doppio zero, il numero di cellulare e la password che avete attentamente calcolato secondo le specifiche precedentemente illustrate.

Se tutto andrà per il meglio il vostro Browser vi riporterà la seguente stringa XML:

<response status=”ok” result=”393481234567″/>
Notate immediatamente che l’esito dello stato è OK il che conferma che avete ottenuto l’accesso al vostro account, se invece la password generata o l’utente non è riconosciuto dal servizio di messaggistica apparirà la dicitura FAIL.

Con la stessa identica metodologia, invio di variabili GET su PHP, possiamo inviare messaggi ad utenti WhatsApp o verificare se ci sono messaggi non letti. Per automatizzare la procedura ci viene in soccorso uno script denominato WhatsAPI e disponibile sul circuito GitHub.

WhatsAPI ci permette quindi di testare la sicurezza di WhatsApp rendendo possibile l’invio di messaggi e la relativa ricezione attraverso il nostro PC anziché sullo Smartphone, lo script è di estremo utilizzo e richiede l’installazione di PHP sulla nostra distribuzione.

Nell’esempio di seguito sfrutteremo la distribuzione BackBox basata su Ubuntu Linux, vi consigliamo di usare una distribuzione Unix Based anche se PHP è disponibile anche per Windows.

Terminato il download di WhatsAPI estraiamo il contenuto e dirigiamoci nella cartella “test” in essa troveremo un unico file denominato “whatsapp.php” apriamolo attraverso l’editor di testo che più preferiamo e dirigiamoci alla 16° riga dove troveremo tre parametri da editare, nello specifico:

$nickname = “WhatsAPI Test”; $sender = “393481234567″; // Mobile number with country code (but without + or 00) $imei = “35xxxxxxxxxxxxx”; // MAC Address for iOS IMEI for other platform (Android/etc)
Come è facile intuire nel campo Nickname specifichiamo il soprannome da utilizzare durante l’invio dei messaggi, nel campo Sender specifichiamo il nostro numero di cellulare comprensivo del codice paese senza il simbolo + o il doppio zero e infine indichiamo il nostro codice IMEI o WLAN MAC address se usiamo un dispositivo Apple.

Salviamo il file ed ora siamo pronti ad avviare lo script PHP, semplicemente da riga di comando digitiamo:

$ php whatsapp.php
Il software ci risponderà con una breve ma efficace guida:

USAGE: whatsapp.php [-l] [-s <phone> <message>] [-i <phone>] phone: full number including country code, without ‘+’ or ’00′ -s: send message -l: listen for new messages -i: interactive conversation with <phone>
Facilmente intuiamo che attraverso il parametro “-s” possiamo inviare un nuovo messaggio, con il parametro “-l” individuiamo eventuali messaggi non letti ed infine con il parametro “-i” avviamo una vera e propria conversazione interattiva nella quale potremo scrivere messaggi e leggere le eventuali risposte.

Per avviare una conversazione è quindi necessario digitare il seguente comando:

$ php whatsapp.php -i 39348123456


5. Altro


La tecnologia è in continuo sviluppo e i metodi elencati non sono gli unici, pero le teorie a monte sono sempre le stesse..

Come proteggerci:

Considerazioni finali:


CITAZIONE
“A questo punto dobbiamo assumere che chiunque, con il giusto impegno, potrebbe essere in grado di intrufolarsi nella vostra connessione WhatsApp e decrittare i messaggi privati. Se l’eventualità si con concretizzasse dovreste considerare tutte le vostre precedenti conversazioni di WhatsApp compromesse. Non c’è nulla che possiate fare per eliminare il problema, a parte smettere di utilizzare l’applicazione in attesa che gli sviluppatori rilascino un update”, ha affermato Alkemade.

www.TechMucho.com