Why disabling automatic media downloads often isn’t the solution.

Scusate per il titolo in inglese: questo dovrebbe essere un blog esclusivo per italiani, o questa è l’idea per ora, poi si vedrà…

In ogni caso il tema meritava un titolo professionale, quindi inglese poiché è un tema di livello più alto anche se io cercherò di non utilizzare parole complicate così che tutti possano leggerlo.

Questo naturalmente non è un articolo o un tutorial ma la prima dei primi elementi inseriti nella sezione news dove commento le notizie fresche e aggiungo informazioni.

In questo caso però voglio lasciarvi con questa notizia anche un insegnamento utile per la vostra sicurezza poiché mi è capitato di imbattermi in questi articoli relativi al nuovo 0-click attack verso gli smartphone iOS 16 con whatsapp installato e di leggere i consigli per difendersi dall’attacco.

Questi sono le solite suzioni di sicurezza base per rendere più sicuro il tuo dispositivo con whatsapp:

Aggiornare il software
Disabilitare il download automatico dei media
Attivare la verifica in due passaggi
Verificare sempre le richieste
Controllare i dispositivi collegati.

Poi, eccolo!.

Un articolo inglese scrive che tutto questo non basta per gli attacchi 0-click di whatsapp di ultima generazione. Chi ha ragione?.

Le pratiche consigliate non sono effettivamente sbagliate e funzionano per la maggior parte degli attacchi 0-click ma la notizia che del nuovo 0-click attack contro whatsapp si basa su più vulnerabilità.

Cerchiamo di capire insieme cosa significa:

Le vulnerabilità in gioco sono tante, le più comuni e discusse da tutto sono le CVE-2025-43300 e qui si è effettivamente riscontrato un problema con il processo background di processamento delle immagini in IOS 16.

In parole povere quando viene mostrata l’immagine nelle anteprime dei messaggi whatsapp, il tuo telefono ha già avviato un processo in backgound che serve al telefono per analizzare e potere elaborare l’immagine, per esempio per trasformarla nella piccola immagine che ti mostrerà nell’anteprima.

Se conosci il codice di questo processo e sei in grado di trovarne una vulnerabilità, puoi inserire un codice nascosto nella immagine in modo che, mentre vengono elaborati i bit della immagine, questi riempiano la memoria del processo, sforando il “contenutore” che esegue quel programma e quindi andando a intaccare la memoria di altri processi e questo permette di eseguire il codice.

La seconda vulnerabilità è la CVE-2025-55177. Whatsapp ha rilasciato degli aggiornamenti per correggere la problematica quindi correte a aggiornare whatsapp e controllate che la vostra versione sia superiore alla 2.25.21.73 per iOS e alla 2.25.21.78 per MAC.

Questa vulnerabilità rende pericoloso questa catena di attacchi (che parte dalla CVE-2025-55177 per poi sfruttare la CVE-2025-43300) perché permette di bypassare l’opzione disabilitata di download automatico dei media.

Infatti questa vulnerabilità permette all’attaccante di a forzare Whatsapp a processare contenuti controllati dall’attaccante durante il processo di sincronizzazione tra device (iOS con il pc MAC o altri dispositivi).

Questa vulnerabilità quindi permette a un attaccante di fare processare al telefono una immagini anche se il download automatico dei media è disabilitato ed il tutto avviene in maniera silenziosa, invisibile e senza necessità di interazione dell’utente.

In questo caso di catena di exploit (vulnerabilità), l’unica protezione, oltre all’aggiornamento costante, sarebbe pensare di inserire la modalità isolamento (lockdown mode) nel telefono, questo è consigliato per gli utenti ad alto rischio. Questa modalità blocca preventivamente l’elaborazione di formati immagine e stringe i controlli sulle connessioni background

Il bug permette anche di inviare messaggi alla tua rubrica senza che tu lo veda ed è cosi pericoloso che non compare nessun altro dispositivo collegato.

Per evitare questa vulnerabilità, ricercatori hanno scoperto che non era possibile vedere messaggi di chat bloccate tramite biometria.

Ci sarebbe molto altro da dire ma questa è solo la discussione di una news quindi per ora mi fermo qui.

Spero di essere stato chiaro su perché tutte le soluzioni citate come disattivare il download automatico dei media e verificare se ci sono dispositivi in cui è connesso whatsapp sono importanti e necessarie per mantenere sicuro il proprio account, io stesso verifico spesso queste due cose, ma possono non bastare per difendersi dagli ultimi attacchi 0-click.

Se volete fatemi sapere nei commenti come la pensate.

Fonti:

Lascia un commento Annulla risposta