Un problema de seguridad en la última versión de WhatsApp para Windows permite enviar archivos adjuntos que contienen código escrito en Python o PHP, los cuales se ejecutan directamente cuando el destinatario los abre. Este comportamiento no incluye una advertencia previa a la ejecución del script.
Requisitos y limitaciones
Para que este ataque sea efectivo, es necesario que el destinatario tenga instalado Python o PHP, lo cual puede restringir los objetivos potenciales a usuarios con conocimientos técnicos como desarrolladores de software, investigadores o usuarios avanzados.
Vulnerabilidad similar a la de Telegram
El problema es similar al que afectó previamente a Telegram para Windows en abril. En ese caso, los atacantes podían eludir las advertencias de seguridad y ejecutar código remoto al enviar un archivo .pyzw de Python a través del cliente de mensajería.
Archivos no bloqueados
WhatsApp bloquea varios tipos de archivos considerados riesgosos, pero la empresa ha confirmado que no planea incluir scripts de Python en esa lista. Pruebas realizadas por BleepingComputer muestran que los archivos PHP (.php) tampoco están incluidos en dicha lista.
Descubrimiento y pruebas
El investigador Saumyajeet Das descubrió la vulnerabilidad al experimentar con diferentes tipos de archivos adjuntos para ver si la aplicación permitía su ejecución. Al enviar un archivo potencialmente peligroso, como .EXE, WhatsApp muestra una opción de «Abrir» o «Guardar como». Sin embargo, al intentar abrirlo directamente desde la aplicación, se genera un error, lo que deja al usuario solo con la opción de guardar el archivo y ejecutarlo posteriormente.
Tipos de archivos permitidos
Das encontró que WhatsApp no bloquea la ejecución de ciertos tipos de archivos como .PYZ (aplicación ZIP de Python), .PYZW (programa PyInstaller) y .EVTX (archivo de registro de eventos de Windows). Las pruebas confirmaron que los scripts de Python y PHP tampoco están incluidos en la lista de bloqueo.
Impacto potencial
Si todos los recursos necesarios están presentes, el destinatario solo debe hacer clic en «Abrir» para que el script se ejecute directamente. Das informó del problema a Meta el 3 de junio y la empresa respondió el 15 de julio indicando que ya debería haberse solucionado. Sin embargo, al contactar con BleepingComputer, se confirmó que el error seguía presente en la última versión de WhatsApp para Windows (v2.2428.10.0) y podía reproducirse en Windows 11.
Posible desestimación del problema
Un portavoz de WhatsApp explicó que no consideraban el problema como algo relevante para su plataforma, por lo que no había planes de solucionarlo. La empresa también mencionó que tiene un sistema para advertir a los usuarios cuando reciben mensajes de contactos desconocidos o con números registrados en países diferentes.
Riesgos potenciales
Si la cuenta de un usuario es secuestrada, el atacante puede enviar scripts maliciosos a todos los contactos. Además, estos archivos podrían publicarse en grupos de chat públicos o privados, lo cual podría facilitar su difusión por parte de actores de amenazas.