WhatsApp corregge vulnerabilità zero-click sfruttata da spyware

WhatsApp ha recentemente risolto una grave vulnerabilità zero-click e zero-day che veniva utilizzata per l’installazione dello spyware Graphite sviluppato da Paragon Solutions. La scoperta della falla è stata possibile grazie alle segnalazioni dei ricercatori del Citizen Lab dell'Università di Toronto, che hanno messo in evidenza come gli aggressori stessero sfruttando questa vulnerabilità per compromettere dispositivi mobili.

La correzione della vulnerabilità è avvenuta alla fine dello scorso anno e, secondo WhatsApp, non è stato necessario alcun intervento da parte degli utenti, poiché la soluzione è stata applicata a livello di server. L'azienda ha inoltre scelto di non assegnare un identificativo CVE (Common Vulnerabilities and Exposures) per questa falla.

Il 31 gennaio, dopo aver neutralizzato l'exploit zero-click, WhatsApp ha informato circa 90 utenti Android di vari Paesi, tra cui Italia, che erano stati presi di mira dal malware Paragon, tra cui giornalisti e attivisti. Questi utenti sono stati vittime di tentativi di raccolta di dati sensibili e di intercettazione delle comunicazioni private.

Il PDF che generava l'attacco

L'attacco si verificava quando gli aggressori aggiungevano le vittime a un gruppo WhatsApp e poi inviavano un file PDF. Una volta ricevuto il documento, il dispositivo della vittima lo elaborava automaticamente, sfruttando la vulnerabilità zero-day per caricare lo spyware Graphite all’interno di WhatsApp. Da lì, il malware si espandeva ad altre app del dispositivo, riuscendo a sfuggire ai controlli di sicurezza di Android.

I ricercatori hanno rivelato che l’infrastruttura utilizzata per questo attacco comprendeva server cloud affittati da Paragon e/o dai suoi clienti, nonché server fisici che probabilmente si trovavano nei locali di Paragon o dei suoi clienti governativi. Inoltre, hanno trovato tracce di un certificato TLS che portava al nome “Graphite”, identificato come il nome dello spyware utilizzato, con un indirizzo IP che rimandava a Israele, sede di Paragon.

Paragon Solutions Ltd., sviluppatore israeliano dello spyware, è stato fondato nel 2019 da Ehud Barak, ex primo ministro di Israele, e Ehud Schneorson, ex comandante dell'Unità 8200. A differenza di concorrenti come il gruppo NSO, Paragon afferma di vendere i suoi strumenti di sorveglianza esclusivamente a forze dell'ordine e agenzie di intelligence di Paesi democratici, con l’obiettivo di combattere la criminalità.