Boadica - Notícias - Falha do Instagram permite ataque que apaga fotos no iPhone
FALHA DO INSTAGRAM PERMITE ATAQUE QUE APAGA FOTOS NO IPHONE
Um pesquisador de segurança publicou neste final de semana um ataque ao Instagram que poderia permitir ao hacker tomar controle da conta da vítima no serviço de compartilhamento de fotos do Facebook.
O ataque foi desenvolvido por Carlos Reventlov em torno de uma vulnerabilidade que ele descobriu no Instagram há algumas semanas. O pesquisador então notificou o Instagram sobre o problema em 11/11, mas até a última semana, o bug não havia sido solucionado.
A vulnerabilidade está presente na versão 3.1.2 do aplicativo para iPhone, que foi lançada em 23/10. Reventlov descobriu que apesar de algumas atividades sensíveis, como fazer login e editar dados de perfil, estarem criptografas ao serem enviadas para o Instagram, outros dados foram enviados como texto normal. Ele testou os dois ataques em um iPhone 4 rodando o iOS 6, onde encontrou o problema pela primeira vez.
"Quando a vítima abre o aplicativo do Instagram, um cookie em texto plano é enviado para o servidor do Instagram", escreveu Reventlov. "Uma vez que o hacker tiver o cookie em mãos, consegue criar pedidos especiais HTTP para pegar dados e apagar fotos."
Esse cookie de texto pode ser interceptado por meio de um ataque "man-in-the-middle", desde que o hacker esteja na mesma rede local (LAN) da vítima. Uma vez que o cookie é obtido, o hacker pode apagar ou baixar as fotos, ou ainda acessar as imagens de outra pessoa que seja amiga da vítima no Instagram.
A empresa de segurança dinamarquesa Secunia verificou o ataque e emitiu um aviso sobre o mesmo.
Reventlov continuou a estudar o potencial da vulnerabilidade e descobriu que o cookie também poderia permitir ao hacker tomar controle da conta da vítima. Neste caso, o hacker também precisa estar na mesma rede LAN que a vítima.
O ataque usa um método chamado ARP (Address Resolution Protocol), em que o tráfego web do aparelho mobile da vítima é passado pelo computador do hacker. Reventlov escreveu que então é possível interceptar o cookie de texto.
"Descobri que muitos aplicativos de iPhone são vulneráveis a ataques desse tipo, mas não muitos eram tão conhecidos como o Instagram", escreveu Reventlov em entrevista ao IDG News Service, lembrando que o ataque é de baixo risco em razão do ambiente necessário para acontecer.
Até o fechamento dessa reportagem, não foi possível entrar em contato com os representantes do Instagram e Facebook.