39C3: Forscher zeigen neuen WhatsApp-Angriff ohne Nutzerinteraktion

Auf dem diesjährigen Chaos Communication Congress in Hamburg haben Sicherheitsforscher eine detaillierte Analyse eines Angriffs vorgestellt, der ohne Zutun der Betroffenen auskommt. Der Vortrag mit dem Titel „DNGerousLINK: A Deep Dive into WhatsApp 0-Click Exploits on iOS and Samsung Devices“ war Teil des 39C3 und beleuchtete Schwachstellen in der Bildverarbeitung von Smartphones. Im Fokus standen Geräte von Apple und Samsung sowie der Messenger WhatsApp.

Ausgangspunkt der Untersuchung waren Sicherheitslücken, die im Sommer bekannt wurden und bereits aktiv ausgenutzt worden sein sollen. Angreifer benötigten lediglich die Telefonnummer eines Opfers, um über WhatsApp Schadcode auszuliefern. Ein Klick oder das Öffnen einer Nachricht war dafür nicht erforderlich. Solche Angriffe werden als 0-Click-Exploits bezeichnet, da sie vollständig im Hintergrund ablaufen.

Wie WhatsApp zur Einfallstür wurde

Die Forscher erklärten, dass der Angriff eine Schwäche in der Verwaltung sogenannter verknüpfter Geräte ausnutzte. WhatsApp erlaubt es, einen Account parallel auf mehreren Geräten zu verwenden. Für bestimmte interne Nachrichten vertraut die App darauf, dass sie nur von eigenen, bereits autorisierten Geräten stammen. Genau diese Annahme ließ sich umgehen.

Konkret konnten Angreifer speziell präparierte Nachrichten verschicken, die ein Zielgerät dazu brachten, automatisch eine Internetadresse aufzurufen. Dieser Vorgang läuft normalerweise unbemerkt ab, etwa um eine Vorschau für einen Link zu erzeugen. In dem untersuchten Fall wurde dabei eine manipulierte Bilddatei geladen, ohne dass der Nutzer davon etwas bemerkte.

Bilddateien als Angriffspunkt auf iOS und Android

Die eigentliche Ausnutzung erfolgte über Schwachstellen in der Verarbeitung von DNG-Bilddateien. Dieses Format wird für Rohbilder verwendet und von den Betriebssystemen direkt analysiert. Auf iOS führte ein Fehler in einer Systembibliothek dazu, dass beim Einlesen bestimmter Bildinformationen Speicherbereiche falsch angesprochen wurden. Das reichte aus, um Anwendungen zum Absturz zu bringen und potenziell weitergehende Angriffe vorzubereiten.

Ähnliche Probleme fanden die Forscher auch auf Samsung-Geräten. Dort kommt eine herstellerspezifische Bibliothek zur Bildanalyse zum Einsatz. Durch fehlerhafte Prüfungen von Bilddaten konnten ebenfalls Speicherfehler ausgelöst werden. Im Zuge der Analyse stießen die Beteiligten nach eigenen Angaben sogar auf weitere, zuvor unbekannte Schwachstellen.

Apple, WhatsApp und Samsung haben die beschriebenen Lücken inzwischen per Update geschlossen. Der Vortrag macht jedoch deutlich, dass komplexe Dateiformate und automatische Hintergrundfunktionen weiterhin eine attraktive Angriffsfläche bieten. Für Nutzer bedeutet das vor allem, Updates zeitnah zu installieren, da solche Angriffe in der Regel ohne sichtbare Warnzeichen ablaufen.