Причем этот инструмент появился в открытом доступе. Злоумышленники могут отследить активность пользователей с помощью телефонного номера. Речь идет не о взломе аккаунта или перехвате переписки — достаточно «пинговать» устройство и анализировать время отклика мессенджера.
Метод основали на особенностях работы протоколов доставки сообщений. WhatsApp* автоматически отправляет служебные подтверждения получения данных (delivery receipts). Эти ответы уходят еще до того, как приложение проверит, существует ли сообщение или реакция на него. В итоге атакующий может измерять round-trip time (RTT) — время между отправкой запроса и получением ответа — и по этим значениям делать точные выводы о состоянии устройства.
Уязвимость получила название Silent Whisper. Ее подробно описали ученые из Венского университета и исследовательского центра SBA Research еще в прошлом году. Однако теперь история вышла за пределы научных публикаций: исследователь под псевдонимом gommzystudio выложил на GitHub PoC-инструмент, наглядно показывающий, насколько просто все это работает на практике.
По словам автора, можно отправлять до 20 «пингов» в секунду, и это не вызовет у жертвы ни уведомлений, ни всплывающих окон, ни каких-либо видимых следов в интерфейсе приложения.
При этом устройство активно отвечает на запросы, а показатели RTT меняются в зависимости от ситуации. Картина получается довольно показательная. Низкое время отклика обычно означает, что телефон в руках пользователя, экран включен и подключение идет по Wi-Fi. Чуть более высокий RTT — активное использование через мобильную сеть.
Большие задержки говорят о режиме ожидания с выключенным экраном, а тайм-ауты — о том, что устройство офлайн или в авиарежиме. Если значения постоянно «прыгают», можно предположить, что человек в движении.
Ранее эксперт развеял популярный миф об обходе блокировки WhatsApp*. Он касается иностранных языков в мессенджере.
* — Принадлежит Meta, деятельность признана в России экстремистской и запрещена.
