Un error en WhatsApp para Windows puede ser explotado para ejecutar código
malicioso
por cualquier persona lo suficientemente astuta como para persuadir a un
usuario a abrir un archivo adjunto manipulado. Y, para ser justos, no se
necesita mucha astucia para lograrlo.
La falla de suplantación de identidad, identificada como
CVE-2025-30401, afecta a todas las versiones de WhatsApp Desktop para Windows anteriores
a la 2.2450.6
y se debe a un error en la forma en que la aplicación gestiona los archivos
adjuntos.
En concreto, WhatsApp muestra los archivos adjuntos según su tipo MIME (los
metadatos que indican qué tipo de archivo es), pero cuando un usuario abre el
archivo, la aplicación lo procesa según su extensión. Esto significa que algo
disfrazado de imagen inofensiva con el tipo MIME correcto, pero con la
extensión .EXE, podría ejecutarse como un programa si el usuario hace clic en
él.
«Una discrepancia maliciosa podría haber provocado que el destinatario
ejecutara código arbitrario sin darse cuenta en lugar de ver el archivo
adjunto al abrirlo manualmente en WhatsApp»,
explicó Meta, la empresa matriz de WhatsApp, en su aviso de seguridad.
Si bien WhatsApp siempre es un objetivo atractivo para los delincuentes, este
error en particular requiere la interacción del usuario: la víctima tiene que
abrir manualmente el archivo adjunto malicioso para que se ejecute la carga
útil.
Pero esto no sería demasiado difícil, ya que muchos usuarios tienden a hacer
clic en cualquier cosa, e incluso un internauta astuto podría verse inclinado
a abrir un archivo adjunto enviado, por ejemplo, por alguien que no conoce,
pero que pertenece a su grupo de vigilancia vecinal de WhatsApp. Un programa
ejecutado de esta manera puede encontrarse con otras defensas en su sistema,
observamos.
Asegúrate de usar una versión de WhatsApp para Windows superior a la 2.2450.6
para mayor seguridad. No está claro si alguien está haciendo esto en la
práctica; el aviso no indica si la falla está siendo explotada.
Fuente:
Register