Las fotografías de WhatsApp de "View Once", es decir, las imágenes de "1 sólo uso", tienen el riesgo de dar una falsa sensación de seguridad a sus usuarios. Primero porque cualquiera puede hacer una fotografía con otro dispositivo a esa foto, así que no hay garantía que no te la capturen. Segundo porque hay un leak de información con la miniatura que permite que se capture, como expliqué en el artículo:"WhatsApp: El leak de las miniaturas en las fotos de un sólo uso y su reconstrucción con GenAI". Ahora, un investigador ha explicado lo fácil que es guardarlas en tu ordenador.

Al final, es posible capturar el tráfico de WhatsApp y por tanto saber dónde se almacena el fichero cifrado en los servidores de WhatsApp, y conseguir las claves de descifrado para poder descargar la foto, descifrarla y almacenarla.

WhatsApp Intelligence es una disciplina que cada día es más importante para los Pentesters, para los equipos Red Team y para los Researchers, por lo que conocer todas estas técnicas son fundamentales. En el libro de WhatsApp Intelligence vamos recopilando todo este conocimiento.

En este caso de las fotos de un sólo uso, el proceso es más sencillo de lo que parece. Basta con tener el cliente de WhatsApp Web y obtener el tráfico con la ubicación de la fotografía, ya que el cliente de WhatsApp Web, a pesar de no mostrar la foto - y ser necesario ver la fotografía en el dispositivo móvil -, el cliente recibe la información completa.

Lo primero que hay que hacer es ver dónde está la fotografía almacenada en los servidores de WhatsApp, por lo que copiando esa URL podemos descargar el archivo de la foto, pero cifrada en formato .enc (encrypted).

Como se puede ver en la imagen, están la Clave de Cifrado y el Vector de Inicialización necesarios para descifrar la fotografía, así que podemos acceder a la información necesaria para descifrarla.

Para ello, utilizando OpenSSL, el nombre del fichero (en este ejemplo se ha renombrado a WA-image2.enc), y con la Cypher-key y el iv, se puede sacar la fotografía.

Y una vez que la hayamos descifrado - a pesar de que dé error la salida de OpenSSL -, podemos verla, almacenarla y tenerla siempre disponible sin que se haya cumplido la opción de "View Once".

Por supuesto, quitar de todos los clientes de WhatsApp en Web o en Desktop de esta información se podría limitar el acceso a la Decypher-Key e IV, pero aún así, con un cliente de WhatsApp en cualquier dispositivo móvil con Jailbreak (iPhone) o Rooted (Android) se podría seguir accediendo a esa información.

Pero como he dicho al principio, lo más importante es que la fotografías de un sólo uso es una falsa sensación de seguridad, porque siempre se puede hacer una foto con otro dispositivo, pero esta demostración tiene un acceso completo al binario de la fotografía, con lo que viene completo hasta el último bit. Puedes ver el proceso completo en el vídeo que ha publicado el investigador.

¡Saludos Malignos!