OSINT : des numéros de politiques françaises interceptés via Whatsapp

OSINT – Un chercheur Français découvre comment récupérer des numéros de téléphones de politiques à partir de WhatsApp. Une possibilité bientôt réalisable avec de simples photos de visages ?

Tristan Granier est un chercheur français en cybersécurité. Il est connu, entre autres, pour son logiciels sous python, Operative. Operative permet de faire de la reconnaissance numérique. Un outil d’OSINT, de recherche d’informations via des sources ouvertes.

Ce bidouilleur de talent a démontré à ZATAZ comment il pouvait trouver le numéro de téléphone de certaines personnalités françaises. Parmi ces politiques dont le numéro de téléphone est interceptable via les réseaux sociaux : Monsieur Griveaux (Ancien porte parole du gouvernement), Roselyne Bachelot, Denis Baupin …

OSINT : Les réseaux sociaux, de grandes pipelettes

Il y a encore peu, il était possible avec Facebook de retrouver une personne en tapant son numéro de téléphone. Le moteur de recherche faisait aussi recherche inversée avec le numéro de téléphone. Il existe aussi des sites web vous permettant de mettre une adresse physique sur un numéro de téléphone, même si ce dernier est sur liste rouge. Avec la technique de Tristan Granier, la collecte d’information prend une autre tournure.

Attention, sa technique a été mise en place pour alerter. Vous faire comprendre que toutes les données que vous laissez dans les mains d’inconnus 2.0 (réseaux sociaux, applications, …) ne sont clairement pas en sécurité. « Pour effectuer cette – attaque par brute force inversé – je détourne une des principales fonctionnalités des messageries instantanés » m’explique Tristan. Cette fonctionnalité est la recherche par contact téléphonique.

Via le logiciel Operative framework, il a pu générer des numéros de téléphone de Français, au format VCards. « Je peux ensuite les importer dans mon compte ICloud. J’ai pu ensuite extraire les données des contacts d’un compte Whatsapp ». Via cette exfiltration, il a pu avoir accès aux profil Whatsapp des numéros de téléphone générés avec leurs photo de profile.

Comme ZATAZ a pu le constater, Tristan a intégré un site dynamique pour l’affichage des profils trouvé. Autant dire que la technique pourrait prendre une nouvelle tournure avec le croisement d’un algorithme de reconnaissance faciale. Cela donnerait une recherche via une photo; photo qui serait retrouvée dans un réseau social; réseau social qui contiendrait des données sensibles, comme le numéro de téléphone. « Les applications on été contactées, indique Tristan, mais ils ne souhaitent pas modifier leurs fonctions qui permet de vérifier la présence des numéros de téléphone dans le carnet d’adresse de la cible. » Une modification qui pourrait permettre de corriger cette possibilité de fuite.

OSINT : Pendant ce temps, sur WhatsApp

Une nouvelle étude de Symantec révèle une faille de sécurité, surnommée « Media File Jacking« , ou « piratage lors de transfert de fichiers », qui affecte WhatsApp et Telegram. Une attaque possible sous Android via certaines fonctionnalités activées. Cela peut arriver pendant le laps de temps qui s’écoule entre le moment où les fichiers multimedia reçus via les applications s’enregistrent sur le disque et le moment du téléchargement dans l’interface utilisateur des applications de messagerie instantanée.

Ce laps de temps critique offre aux éventuels cyber attaquants l’opportunité d’intervenir et de manipuler des fichiers multimédia à l’insu de l’utilisateur, de manipuler des informations sensibles telles que des photos et des vidéos personnelles, des documents d’entreprise, des factures et des mémos vocaux. Les attaquants pourraient tirer parti de la trop grande confiance accordée entre les interlocuteurs, que ce soit pour des fins personnelles.

Des attaques multiplies

Manipulation d’images avec une application d’apparence innocente, mais en réalité malveillante. Téléchargée par un utilisateur peut utiliser des photos personnelles en temps quasi réel et à l’insu de la victime. Prise en main de paiements. Un malveillant pourrait se servir d’une facture envoyée par un fournisseur à un client. Mission, amener le client à effectuer un paiement sur un compte frauduleux. Usurpation de message audio en utilisant la reconstruction vocale via une technologie d’apprentissage en profondeur. Un attaquant pourrait modifier un message audio pour son bénéfice personnel ou bien pire. Fausses informations dans Telegram. Les administrateurs utilisent le concept de «canaux» pour diffuser des messages à un nombre illimité d’abonnés qui regardent le contenu publié. Un attaquant pourrait modifier les fichiers multimédia qui apparaissent dans un flux de diffusion sécurisé en temps réel pour communiquer de fausses informations.