Tag Hacking Team

A modo de contexto y para comprender mejor esta publicación, quiero comenzar contando una historia. Como protagonista de nuestra trama tendremos a una persona muy celosa y desconfiada a la que le gusta investigar la vida de las personas con las que se relaciona. Llamaremos a esta persona X.

En busca de más información, X acude a Google y decide investigar qué alternativas existen para poder espiar a alguien. Al poner la palabra “espiar” el buscador sugiere, entre otras opciones, “espiar WhatsApp”, por lo que X decide buscar más información sobre esta opción.

Obviamente, para esta búsqueda la cantidad de resultados es enorme, pero ¿puede X confiar en todas las opciones que prometen espiar WhatsApp de otra persona? ¿Hay riesgo de infectarme con malware? ¿Todas las “herramientas” cumplen con lo que prometen? He analizado algunas de estas opciones que prometen espiar WhatsApp y quiero compartir algunos de los resultados más interesantes desde el punto de vista de la seguridad de la información.

A modo de adelanto, es importante mencionar que los sitios y extensiones que analizamos no cumplen con lo prometido y buscan engañar a la gran cantidad de usuarios que se lanzan a la web en busca de opciones para espiar el teléfono de otra persona. Si bien no hemos detectado que se distribuyan amenazas informáticas que intenten comprometer el dispositivo de los usuarios (en su mayoría buscan distribuir publicidad), muchas tienen el potencial de hacerlo. Igualmente, dada la cantidad de usuarios que está dispuesto a probar algunas de las tantas alternativas que aparecen en los primeros resultados de Google al buscar cómo espiar WhatsApp o el teléfono de otra persona, nos pareció importante analizar algunas de estas opciones para concientizar sobre los riesgos para la privacidad y seguridad de probar estas alternativas.

A continuación, divido los resultados de mi análisis en: sitios que ofrecen espiar WhatsApp, extensiones para el navegador que prometen lo mismo, y por último aplicaciones:

Sitios que ofrecen espiar WhatsApp

Encontré varios sitios que prometen acceder a toda la información de la cuenta de WhatsApp del objetivo de forma completamente gratuita. En su mayoría, los únicos pasos que se requieren para que esta “magia” ocurra es completar algunos datos, como el número de WhatsApp de la persona que se quiere monitorear, y qué sistema operativo está usando el usuario que quiere espiar a la otra persona.

Algunos de estos sitios, como hackingtor, por nombrar solo uno, solicitan que elijas entre “hackear mensajes antiguos” o más recientes, para determinar la forma de crackear.

Todos estos sitios presentan prácticamente la misma estructura y en el momento que hice el análisis llevaban a un final muy similar: una pantalla que simula que se están ejecutando muchos comandos para acceder a la información del número de teléfono proporcionado, pero en realidad no se ejecuta nada. Solo se trata de textos ya programados en la página y, tal como se observa en la Imagen 4, no se genera ningún tráfico cuando se introduce la información en los campos.

Por las dudas que no haya quedado claro, aunque algunos de estos sitios muestren imágenes que para los ojos crédulos pueden parecer convincentes, lo que ofrecen estos sitios es mentira. Sería un daño irreversible para la imagen de WhatsApp si realmente los sitios pudieran acceder a la información cifrada de sus clientes simplemente introduciendo un número de teléfono.

Se trata de sitios con un diseño muy simple y en un primer momento no hemos encontrado ningún código malicioso en ellos. Quizás te preguntes por qué los responsables de crear estos falsos servicios harían que estos sitios fueran “inútiles”.

Para responder esto, el primer punto al que debemos prestar atención es a la recolección de información. Para utilizar el sitio hay que ingresar un número de teléfono e indicar el sistema operativo que se utiliza. Esta información podría ser útil si los delincuentes quisieran propagar amenazas a blancos específicos a través del número de teléfono. También podrían utilizar la información del sistema operativo para alterar posteriormente el sitio para propagar malware específico para una versión en particular de Windows, por ejemplo.

El segundo truco utilizado por estos sitios es la publicidad. Para llegar a eso primero le informan al usuario que para tener acceso a los supuestos datos recolectados de la cuenta que quieren espiar debe seguir algunos pasos adicionales. Estos pasos conducen a varios sitios, también sin código malicioso aparente, pero repletos de publicidad. Por cada acceso los delincuentes ganan una pequeña cantidad de dinero por publicidad y estos simples e inofensivos accesos alimentan la industria de la ciberdelincuencia.

Extensiones para el navegador

Entre las distintas opciones que se ofrecen en la web para espiar WhatsApp de un tercero analicé una extensión para Chrome que también decía poder acceder a la información de una cuenta de WhatsApp.

Se trata, por supuesto, de otra falsa promesa. La descripción disponible en la extensión indica a los interesados que deben instalarla en el navegador o remitirse a un sitio web que hará lo mismo. Al instalar la extensión he visto que, una vez más, no se trata de un código malicioso, sino de otro generador de clics. Lo único que hace la extensión es mostrar una pequeña página web en forma de botón que dirige a una dirección que ofrece servicios falsos relacionados a YouTube, como aumentar el número de suscriptores a un canal, la cantidad de likes, favoritos y otros. Para ello, basta con rellenar la URL del canal que desea este servicio.

Al elegir cualquiera de las opciones, el sitio solicita realizar una verificación, supuestamente para confirmar que el proceso no está siendo realizado por un robot. La verificación consiste en completar un cuestionario larguísimo en páginas repletas de anuncios. Completar el cuestionario supuestamente lleva dos minutos; sin embargo, yo estuve haciéndolo durante más de 5 minutos y no pude ni siquiera llegar a la mitad. En cada pregunta se actualizaban los anuncios de toda la página, aumentando las ganancias de los delincuentes que buscan monetizar sus campañas a través de la distribución de anuncios.

Cabe destacar que, si bien al momento de analizar esta extensión la misma no presentaba características maliciosas adicionales, los peligros que conlleva la instalación de una extensión es mucho mayor que los que he mencionado anteriormente. La instalación de software en su navegador puede traer varias complicaciones. Además de la posibilidad de cambiar el funcionamiento del propio navegador, este software puede ser utilizado como una herramienta para descargar otros programas maliciosos sin que el usuario sea consciente. No sería la primera vez que atacantes utilizan extensiones que se hacen pasar por herramientas legítimas para realizar acciones maliciosas.

Aplicaciones

Las aplicaciones de monitoreo de teléfonos móviles siempre han existido y se ofrecen en el mercado como herramientas para aumentar la seguridad de los dispositivos, permitiendo a sus propietarios gestionarlos a distancia.

Aquí haré referencia a dos principales tipos de aplicaciones: las más genéricas, y generalmente gratuitas, y las apps de monitoreo y control.

Hay muchas aplicaciones que ofrecen una función de clonación o seguimiento, pero en realidad sólo utilizan la interfaz de una aplicación para utilizar una función ya disponible en el propio WhatsApp, como el uso de WhatsApp web.

También están las apps que rastrean la actividad de los contactos en línea, proporcionando cierto nivel de información, como un historial de cuándo los contactos estaban en línea y fuera de línea. Muchas apps realizan esto y no cuentan con un desarrollo que les permita proporcionar más información de los usuarios que se quiere espiar. Sin embargo, el riesgo que conllevan es similar al de las extensiones del navegador, con el agravante de que el riesgo está ligado al teléfono, que es donde la mayoría de las personas guarda la mayor cantidad de datos sensibles.

Apps de monitoreo y control

Por otro lado, hay aplicaciones que están diseñadas y desarrolladas para controlar varios puntos de un smartphone, entre ellas WhatsApp. Vale la pena aclarar que si bien en algunos países no es ilegal el uso de estas aplicaciones como herramienta de control parental o por los empleadores, interceptar las comunicaciones de un tercero mediante la instalación y/o uso de estas aplicaciones sin concentimiento y autorización es ilegal en la gran mayoría de los países del mundo. Por otra parte, si bien existen aplicaciones que fueron diseñadas para ser utilizadas con el consentimiento de la otra persona y con fines de seguridad, otras apps dicen ofrecerse con este mismo objetivo pero sus descripciones en realidad hacen referencia al espionaje sin consentimiento.

Para comprender el interés que despiertan este tipo de apps, entre 2019 y 2020 el crecimiento en el uso de este tipo de aplicaciones creció en casi un 50%. Otro dato relevante relacionado a la seguriedad y privacidad de este tipo de apps lo aportó una reciente investigación de ESET en la cual se analizaron más de 58 apps para para espiar y se descubrió que muchas presentan una gran cantidad de vulnerabilidades que suponen un riesgos para la privacidad, tanto de las personas espiadas como de quienes espían.

Volviendo a nuestra investigación, este tipo de apps suelen tener dos enfoques principales: permitir a sus usuarios controlar sus dispositivos de forma remota y proporcionar un seguimiento de las actividades con el fin de ejercer cierto control.

Algunas funciones presentes en este tipo de aplicaciones son: el bloqueo de pantalla, el control del tiempo de uso del dispositivo, el acceso a la localización del dispositivo y definición del perímetro (para recibir una notificación si, por ejemplo, el niño pasa de la zona estipulada), el acceso a las conversaciones de aplicaciones de mensajería como WhatsApp, la grabación de sonido, la gestión de las apps instaladas, el acceso a la galería de fotos, la función de grabación de las teclas pulsadas, el bloqueo del smartphone y la función wipe. Esta última es capaz de eliminar todos los datos de un dispositivo.

Teniendo en cuenta que tienes un dispositivo que necesita ser monitoreado y que por supuesto cuentas con los permisos necesarios para usar este tipo de apps, ¿cómo elegir una aplicación adecuada habiendo tantas apps potencialmente peligrosas o que no cumplen con lo que prometen?

Cuidado con las populares herramientas o servicios “online”

Si bien casi todo hoy en día es online, el cuidado al que me refiero es ante las soluciones cuyas características prometen que funcionarán de forma extremadamente sencilla, sin necesidad de instalar nada, y todo directamente desde la pestaña de tu navegador. Que una herramienta sea capaz de monitorear algo que está en un smartphone necesita, como mínimo, tener permisos del sistema operativo de este teléfono. Para que una herramienta permita realmente monitorear exclusivamente a través del navegador haría falta la explotación de una vulnerabilidad. Y de ser así sería tan grave que monitorear apps de mensajería como WhatsApp sería lo de menos.

Protéjase

Recuerde siempre utilizar una solución de seguridad en sus dispositivos (computadora, smartphone, tableta, etc). Esto permitirá múltiples capas de protección para evitar que una amenaza comprometa su dispositivo si detecta malware mientras usted busca la aplicación que realmente desea.

Investigue

Siempre habrá ofertas de supuestas soluciones milagrosas que prometen hacer algo que parece imposible, y que de hecho suele ser imposible. Estas ofertas nunca serán ofrecidas por empresas serias. Con un poco más de investigación probablemente encuentres productos de calidad que satisfagan tus necesidades en ese momento.

Busca la reputación de quien te ofrece un producto o servicio, entra en la página web de la empresa, observa si tienen un servicio de atención al cliente, estos puntos te facilitan las cosas cuando tengas dudas sobre el producto o cuando estés con algún problema.

Si tienes alguna duda o tienes sugerencias de temas relacionados con la seguridad de la información que te gustaría abordemos en futuras publicaciones, cuéntanos en los comentarios.

Fuente: www.welivesecurity.com