Arquivos de mídia do WhatsApp e do Telegram podem ser expostos e manipulados por hackers, é o que revela pesquisa divulgada pela Symantec. A falha de segurança, chamada “Media File Jacking” (sequestro de arquivos de mídia), afeta o WhatsApp para Android por padrão, e o Telegram para Android se certos recursos forem ativados. Ela é proveniente do lapso de tempo entre o momento em que os arquivos de mídia recebidos por meio dos aplicativos são gravados em disco e o momento em que são carregados na interface de conversa dos aplicativos para os usuários consumirem. Esse lapso de tempo crítico gera uma oportunidade para os hackers intervirem e manipularem arquivos sem o conhecimento do usuário. Se a falha de segurança for explorada, o ciber criminoso pode explorar e manipular informações confidenciais como fotos e vídeos pessoais, documentos corporativos, faturas e gravações de voz.
Os invasores poderiam se aproveitar ainda das relações de confiança entre um remetente e um destinatário ao usar esses aplicativos de mensagens instantâneas para ganho pessoal, por exemplo.
A ameaça de sequestro de arquivos de mídia é especialmente preocupante tendo em vista a percepção comum de que a nova geração de aplicativos de mensagens instantâneas é imune à manipulação de conteúdo e a riscos de privacidade graças à utilização de mecanismos de segurança como a criptografia de ponta a ponta. Os usuários geralmente confiam no fato de que aplicativos de mensagens instantâneas como WhatsApp e Telegram protegem a integridade tanto do remetente e do destinatário quanto do conteúdo da mensagem em si. Embora a criptografia de ponta a ponta seja um mecanismo eficiente para garantir a integridade das comunicações, ela não será suficiente se houver vulnerabilidades no nível do aplicativo no código. A pesquisa da Symantec sobre o sequestro de arquivos de mídia demonstra que os invasores podem manipular arquivos ao aproveitar falhas de lógica nos aplicativos que ocorrem antes e/ou depois que o conteúdo é criptografado para transmissão.
Contexto técnico
Os aplicativos Android podem armazenar arquivos e dados em dois locais: o interno e o externo. Arquivos salvos no armazenamento interno só podem ser acessados pelo próprio aplicativo e não por outros. Arquivos salvos em uma pasta púbica do armazenamento externo podem ser lidos e gravados globalmente; portanto, podem ser modificados por outros aplicativos ou usuários fora do controle do aplicativo original. De acordo com a documentação para desenvolvedores do Android, “o armazenamento interno é o ideal quando você quiser garantir que nem o usuário nem outros aplicativos possam acessar seus arquivos”. Por sua vez, “o armazenamento externo é o melhor lugar para arquivos que não requerem restrições de acesso e/ou que você queira compartilhar com outros aplicativos, ou permitir que o usuário acesse com um computador”.
Por padrão, o WhatsApp armazena arquivos de mídia recebidos por um dispositivo no armazenamento externo, no seguinte caminho: /storage/emulated/0/WhatsApp/Media/. No Telegram, se um usuário ativar o recurso “Salvar na Galeria”, assumindo que é uma ação segura e sem entender as consequências indiretas, de forma similar, vai armazenar arquivos em: /storage/emulated/0/Telegram/. Ambas as pastas são públicas. Os aplicativos carregam os arquivos recebidos das pastas públicas para que os usuários as vejam na interface de conversa, quando eles entrarem na conversa correspondente.
O fato de que os arquivos são gravados no armazenamento externo e carregados dele sem mecanismos de segurança adequados permite que outros aplicativos com permissão de gravação no armazenamento externo coloquem em risco a integridade dos arquivos de mídia. A gravação no armazenamento externo (WRITE_EXTERNAL_STORAGE) é uma permissão comum solicitada por aplicativos Android; mais de um milhão de aplicativos no Google Play têm esse acesso, quase 50% dos aplicativos de um dispositivo têm essa permissão.
O fluxo do tratamento dos arquivos de mídia no WhatsApp e no Telegram mostra que entre o recebimento e gravação em disco dos arquivos no dispositivo (ETAPA 1) e o carregamento deles para os usuários os consumirem nos aplicativos (ETAPA 3), surge a oportunidade perfeita de exploração: um malware pode analisar instantaneamente os arquivos e manipulá-los (ou simplesmente os substituir por arquivos escolhidos pelo invasor) para algum ganho escuso (ETAPA 2).

É como se fosse uma corrida entre o invasor e o aplicativo que carrega os arquivos. Se o invasor chegar primeiro aos arquivos – isso pode acontecer quase em tempo real se o malware monitorar as alterações nas pastas públicas – os destinatários verão os arquivos manipulados antes de sequer ver os originais. Além disso, a miniatura que aparecer na notificação que os usuários veem também exibirá a imagem ou arquivo manipulado, de forma que os destinatários não terão indicação alguma de que os arquivos foram alterados. Além disso, os dados podem ser manipulados no WhatsApp tanto ao enviar arquivos – indicando que o ataque foi lançado no dispositivo do remetente – quanto ao recebê-los – quando o ataque acontece no dispositivo do destinatário.
A permissão WRITE_EXTERNAL_STORAGE é muito comum entre aplicativos Android e, geralmente, os usuários não se incomodam em conceder a permissão como parte do processo de adoção dos aplicativos. Portanto, é possível que um usuário instale inadvertidamente o malware, ao contrário do que faria com outro aplicativo que peça permissões mais agressivas (como sensores críticos do dispositivo ou acesso a recursos); nesse caso, um usuário poderia ser mais cuidadoso antes de aceitar a instalação.
Além disso, a vulnerabilidade de sequestro de arquivos de mídia indica um problema maior: o uso inseguro de recursos de armazenamento por parte dos desenvolvedores de aplicativos. Em 2018, pesquisadores descobriram uma falha similar, relacionada à forma com que alguns aplicativos Android utilizam o armazenamento externo, abrindo a porta para a manipulação de dados por parte dos invasores. O ataque chamado Man-in-the-Disk pode ocorrer quando os desenvolvedores deixam de tomar precauções de segurança ao armazenar arquivos no armazenamento externo. Isso pode resultar na instalação silenciosa de aplicativos potencialmente maliciosos e a negação de serviço para aplicativos.
Impactos
1. Manipulação de imagens. Nesta situação, um aplicativo aparentemente inocente baixado pelo usuário pode manipular fotos pessoais quase em tempo real, sem a vítima saber. O aplicativo é executado em segundo plano e realiza um ataque de sequestro de arquivos de mídia enquanto a vítima usa o WhatsApp. Ele monitora fotos recebidas pelo aplicativo de mensagens, identifica rostos nas fotos e os substitui por outras coisas, como outros rostos ou objetos. Um usuário do WhatsApp pode enviar uma foto de família para um de seus contatos, mas o destinatário vê uma foto modificada. Embora esse ataque possa parecer trivial e meramente irritante, ele demonstra a possibilidade de manipular imagens dinamicamente. Em uma situação similar com consequências mais amplas, os arquivos de mídia de um candidato a cargo político ou um executivo de empresa poderiam ser manipulados, permitindo aos invasores extorquir ou incriminar seus alvos.
2. Manipulação de pagamentos. Em um dos ataques de sequestro de arquivos de mídia mais danosos, um hacker pode manipular uma fatura enviada por um fornecedor a um cliente para forçar um pagamento a uma conta falsa. Um aplicativo aparentemente legítimo procura arquivos de fatura em PDF recebidos via WhatsApp e então programaticamente troca as informações de conta bancária exibidas na fatura pelas do agente malicioso. O cliente recebe a fatura que estava esperando, mas não sabe que ela foi alterada.
3. Falsificação de mensagens de áudio. Nesta situação, um invasor explora as relações de confiança entre funcionários de uma empresa. Um CEO envia ao CFO uma mensagem de áudio via WhatsApp, solicitando uma apresentação de slides atualizada para uma reunião de conselho na semana seguinte. O invasor, usando reconstrução de voz por meio de tecnologia de deep learning altera o arquivo de áudio original para comunicar ao CFO, com a própria voz do CEO, que é preciso transferir um pagamento imediatamente para uma entidade fictícia, que na verdade é o invasor, por exemplo.
4. Outro exemplo interessante em que podemos encontrar um ataque de sequestro de arquivos de mídia é o das fake news. No Telegram, administradores usam o conceito de “canais” para transmitir mensagens a um número ilimitado de assinantes que consomem o conteúdo publicado. Um invasor pode alterar os arquivos que aparecem no feed do canal em tempo real. Vamos considerar, por exemplo, uma emissora de notícias confiável que mantém um canal no Telegram. Os assinantes confiam no canal para obter notícias críveis. Um invasor pode comunicar mentiras no canal ao manipular os arquivos de mídia recebidos ali. O interessante é que isso acontece sem o conhecimento e consentimento nem do dono do canal, nem da vítima final. Esse exemplo ilustra como tanto o remetente quanto o destinatário podem ser prejudicados pelo ataque: os destinatários consomem fake news e a reputação ou a credibilidade do dono do canal é abalada.
Como os desenvolvedores de aplicativos podem se proteger da ameaça
Como mencionamos antes, o WhatsApp salva arquivos no armazenamento externo automaticamente, enquanto o Telegram faz isso quando o recurso “Salvar na Galeria” é ativado. No entanto, em ambos os casos, nenhum dos aplicativos implementou qualquer medida para proteger seus usuários de um ataque de sequestro de arquivos de mídia.
Para garantir que os arquivos de mídia fiquem a salvo de hacker, é necessário:
• Validar a integridade dos arquivos: em um arquivo de metadados, armazene um valor de hash para cada arquivo de mídia recebido antes de gravá-lo em disco. Então, confirme que o arquivo não foi alterado (ou seja, o hash é o mesmo) antes que o arquivo de mídia seja carregado pelo aplicativo na conversa correspondente para os usuários verem. Essa etapa pode ajudar os desenvolvedores a validar que os arquivos não foram manipulados antes do carregamento. Essa abordagem faz o equilíbrio entre as necessidades de segurança (proteção contra ataques de sequestro de arquivos de mídia) e de funcionalidade (como o suporte a aplicativos de backup de terceiros) dos aplicativos de mensagens.

• Armazenamento interno: se for possível, armazene os arquivos de mídia em uma pasta não pública, como o armazenamento interno. Alguns aplicativos de mensagens instantâneas já optaram por essa medida.
•
• Criptografia: esforce-se para criptografar arquivos confidenciais. Essa medida, assim como a anterior, dará aos arquivos melhor proteção contra exposição e manipulação. A desvantagem é que outros aplicativos, como os de backup de fotos, não poderão acessar facilmente esses arquivos.
Com o lançamento do Android Q, o Google planeja fazer mudanças na forma com que os aplicativos acessam arquivos no armazenamento externo do dispositivo. O armazenamento com escopo planejado para o Android é mais restrito, o que pode ajudar a combater ameaças como a falha no WhatsApp/Telegram. Com o armazenamento com escopo, os aplicativos terão sua própria área de armazenamento em uma pasta específica para cada um, mas não poderão acessar arquivos na partição de armazenamento inteira, a menos que o usuário conceda uma permissão explícita. Embora isso tenha potencial para melhorar a proteção da privacidade do usuário, também acarreta mudanças importantes na forma com que milhões de aplicativos utilizam o armazenamento externo. Em parte por causa desses desafios, o Google anunciou recentemente que planeja colocar a API em vigor somente em 2020, na próxima versão principal da plataforma. Mesmo nesse prazo, o impacto da mudança levará tempo para surgir, devido à fragmentação de versões do sistema operacional Android.
Processo de revelação
A Symantec notificou o Telegram e o Facebook/WhatsApp sobre a vulnerabilidade de sequestro de arquivos de mídia.
Desativando o armazenamento de arquivos de mídia no armazenamento externo
Os usuários dos aplicativos de mensagens podem mitigar o risco de sequestro de arquivos de mídia desativando o recurso que salva os arquivos no armazenamento eterno conforme abaixo:
WhatsApp: Configurações -> Conversas -> Visibilidade de mídia

Telegram: Configurações -> Configurações de Chats -> Salvar na Galeria