Buenas tardes a todos los lectores de mis artículos y un gran saludo a todos. Últimamente me he topado con un dilema ético donde no puedo publicar muchas cosas, ya que, exageradamente MUCHAS personas aún no son muy tecnólogas y las que saben de tecnología se aprovechan de esta ignorancia para su propio beneficio (pero de la manera mala de aprovecharse), hoy se los demostraré.

Whatsapp está incluyendo las llamadas VoIP desde la aplicación misma de Whatsapp, pero con esto siempre trae un dilema, las personas quieren hacer esas llamadas pero cuando les dices “Debes actualizar Whatsapp para poder hacer las llamadas” te empiezan a preguntar cosas como: “¿Cómo se hace eso?; ¿Tu me puedes hacer eso?; No entiendo que es actualizar; ¿Whatsapp se actualiza?; Eso es mentira, el primo del hermano de mi amigo que conocí un día en una fiesta estando ebrio… me dijo que instalara una aplicación que me envió que se llama VirusParaAndroid.apk……” Entre MUCHAS respuestas que me han dado.

¿Recuerdan esas cadenas del 2005 que decían “Si no pasas esta cadena a 20 contactos de tu email, morirás en 7 días”? Entonces recibías esa cadena de tu madre, tu padre, tu sobrino, algún cliente o socio tuyo y HASTA tu abuela… Es gracioso pero es cierto, pues al parecer esta técnica ha regresado.

Tenemos 2 preguntas en este momento ¿Qué cadenas utilizan ahora? y ¿Qué hacer para evitar esto?

1. ¿Qué cadenas utilizan ahora?

Ahora utilizan un medio de SPAM como ha estado pasando en los últimos años en Facebook, twiiter, etc. Les muestro dos fotos: 

photo52551094281283605

Esta persona me tenía agregado a whatsapp y me envió el link y todo esto sin yo saber quien era…

photo52551094281283604Mi propio padre (que me incursionó en la seguridad informática, programación de sitios web, etc…) ha caído en este truco, una persona que sabe mucho de tecnología y los métodos de hackear a personas.

Nadie escapa a estos ataques, cuando fui a ver el link me encontré esto:

Screenshot 2015-03-26 at 3.16.49 PM

El sitio está hospedado en un hosting Free, desde ahí vamos mal, porque estos hosting son muy utilizados para implantar malware, etc…

 Screenshot 2015-03-26 at 4.11.49 PM

Así vemos el sitio web fraudulento desde el navegador, vemos que el link es whatsappcall.mzzhost.com, esto es un típico ataque de ingeniería social para hacer SPAM.

photo42427761875331544

Este sitio web tiene versión para celulares y tablets (responsive) por ende, pareciera que fuera una aplicación de Whatsapp pero OJO, no lo es, es un truco solamente para poder que sigas enviando el spam.

2. ¿Qué hacer para evitar esto?

Siempre escuchamos la frase “Expertos recomiendan que…” pues bueno, utiliza este método para TU enviar una cadena como… “Expertos recomiendan que NO descarguen aplicaciones o entren a sitios web para activar las llamadas de Whatsapp, ya que, si descargas una aplicación con virus o vas a un sitio web para activar las llamadas de whatsapp, puede que te roben tus fotos en tu celular o te roben las contraseñas del banco y redes sociales.”

Si, lo se… Suena muy dramático, pero todo lo que dice esa cadena que enviaremos es cierto, así que, en ves de ir de celular en celular actualizando el Whatsapp de tus amigos y familiares, diles que no hagan nada, es lo mejor para hacer en estos casos.


Continuación del Artículo (Nivel técnico)

Es interesante conocer ¿Cómo esta persona o grupo de personas lograron hacer TANTO SPAM con tan solo una página web hecha en HTML ¡Si, es hecha solo con HTML!

Aquí explicaremos un poco esto:

Screenshot 2015-03-26 at 4.17.22 PM

En el URL podemos ver que usó una síntesis o syntax que los navegadores utilizan para llamar a una aplicación, fue probada en Android y iPhone. Es muy curioso ver la syntax tan fácil para hacer un ataque de SPAM…

Screenshot 2015-03-26 at 4.19.38 PM

Al ver el código, vemos que con javascript hace un windows.open (abre una nueva ventana o pestaña) en el explorador y en vez de tener un http:// abre la aplicación de Whatsapp con whatsapp://send?text= DONDE whatsapp:// es el protocolo que abre la aplicación y send?text= hace que se escriba automáticamente un texto que incluimos…

Siendo sincero, no conocía este GRAVE agujero de seguridad con Whatsapp, ahora con esto se me ocurren miles de formas de atacar un whatsapp y a mis amigos en Hacking Panamá ya empezaron a hacer pruebas de concepto sobre esto con servidores locales.

Un saludo a todos y pronto esperen nuevos artículos bastante interesantes que tengo en el borrador a punto de publicarlos.

CISO en el lado del mal (Panamá Gov) - Ethical Hacker - CEDIIF - Pentester. Si nunca has estado del lado oscuro, jamás sabrás como combatir a la oscuridad, con esto ya sabes la mitad de la historia.

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

diecinueve + diecinueve =