Hola gente,

berni69 y un servidor estamos muy liados con el trabajo, cosa que es buena, y aunque ya no aportamos gran cosa a elhacker.net ni a seguridadwireless.net, en fiestas nos hicimos con algo de tiempo para hacer este proyecto, que sin ser realmente una herramienta de espionaje, sirve como una buena prueba de concepto de la poca privacidad real que existe en whatsapp hoy dia (aunque haya mejorado recientemente).

http://www.whatsappvoyeur.com

estamos aún puliendo alguna locura que nos hace el conversor de fechas en circunstancias muy concretas, asi que os pido un poquito de paciencia si veis fechas surrealistas por ahi.

tampoco hemos implementado los emojis aún, porque es trabajo de chinos extraer TODOS los iconos que tiene whatsapp para implementarlos en el código. paciencia.

tengo que agradecer al genio Tarek Galal, que desde Egipto siempre está atento a los cambios del protocolo de whatsapp y es un toda una eminencia haciendo ingenieria inversa del mismo para implementarlo en su API en python, yowsup.

Python coders: no dejeis de seguir su trabajo en github, es inspirador.

saludos,
alist3r

hola! y gracias.

* si, de momento line parece mas seguro que whatsapp. pero por lo visto spotbros gana la carrera en seguridad a todos los demas


* que yo sepa, nadie ha podido confirmar que el historial de mensajes esté en el servidor de whatsapp y el protocolo no contempla comandos para pedir dicho historial. si los guardan realmente... prefiero no pensar en ello, la verdad.
las fotos si que hemos constatado que se quedan ahi... y cuando pienso que alguna amiguita y las fotos que me ha enviado por whatsapp... no puedo hacer mas que partirme de la risa xDDD

* para acceder a una cuenta, necesitas el password y el user. sabemos que el user es el telefono precedido por el countrycode, asi que no necesitamos adivinarlo. antiguamente, el password era producto directo del IMEI / UID / MAC del terminal (dependiendo de sistemas operativos), pero actualmente los passwords se generan del lado del servidor y se entregan al usuario en el momento del registro, quedando fisicamente guardados en los ficheros de configuracion de la aplicacion. asi que dada la nueva entropia introducida, los passwords solo son capturables si estas esniffando trafico en el mismo instante del registro de la cuenta. ademas (y de esto no estoy muy seguro) parece que el servidor de whatsapp ha introducido un sistema de pinning o algun tipo de control de origen en los certificados ssl, ya que ahora sslstrip no intercepta correctamente el trafico ssl que se genera al descargar las imagenes y otros ficheros, cuando antes era un festival...

la verdad es que han mejorado bastante estos meses. la cuestion es que el modelo de privacidad en si mismo, y la ausencia de throttling en las peticiones, permiten la existencia cosas como whatsapvoyeur.
proximamente hablare sobre ello en detalle en securitybydefault.

saludos!

EDITO: ah! se me olvidaba decirte que no existe ninguna relacion entre las direcciones de correo electronico y las cuentas de whatsapp. piensa que al registrarte en whatsapp no proporcionas ningun email. puedes acceder a ambos servicios desde tu movil, pero no convergen entre si en ningun momento, de la misma manera que puedes acceder a tu cuenta de linkedin y a la de twitter desde tu terminal, pero no por ello debe existir relacion alguna entre ellas, ni el hecho de conocer las credenciales de una te da acceso a la otra. es mas, hay terminales que ni siquiera son smartphones, que no pueden acceder a correo electronico, y que tienen clientes de whatsapp.

Eso, por lo que respecta a acceder a whatsapp. Respecto a acceder "al telefono" en un sentido mas amplio, la pregunta seria demasiado general y como todas las preguntas generales, no tiene respuesta correcta. El abanico de posibilidades se podria contar por miles segun lo que entendieras por "acceder al telefono", marca y modelo, sistema operativo, si existiera algun exploit o bug conocido, si quisieras acceder al sistema de ficheros del terminal o solo robarle cookies u otros datos sensibles, segun el vector de entrada y sus vulnerabilidades, bluetooth, ingenieria social, wifi...
es imposible responder a eso. Pero por suerte para nosotros en lineas generales no hay una forma fácil simple y automática de acceder a los datos de ningun smartphone de forma remota ni próxima. Y esperemos que asi siga siendo!

pero no me cambies de tema de esa manera, hombre! jajajajajaja

yo recomiendo cerberus. bien vale su pequeño precio.
y desdeluego no hay nada como PREVENIR! asi que antes de perderlo, mejor instalarle un buen sistema antirrobo.

el nombre fue elegido despues de fallar con todas las opciones mas habituales, por culpa de los malditos especuladores de dominos xDDD

te comento: por lo que sabemos el acceso a las fotos que se envian en mensajes, se puede realizar a traves de simples enlaces https protegidos por ofuscacion. si pudieras interceptar el trafico https del teléfono movil, ya tienes gran parte del trabajo hecho (el problema es que parece que ahora utilizan pinning de certificados, al estilo de google, asi que olvidemonos de sslstrip + driftnet)

a nivel historico, no parece que haya ninguna progresion reconocible en las url, ni deberia haberla! eso si, dado que whatsapp guarda sin permiso historiales de los mensajes en tu movil y no los borra aunque tu se lo digas... cualkiera que te lo pille obtiene ese hstorial que comentas sin dificultad.

en cambio, las fotos de perfil, se otienen mediante el protocolo interno de whatsapp y se envian codificadas en paquetes de mensaje, asi que por lo menos desde el punto de vista http no estan accesibles. probablmenente las tengan en carpetas fuera de la carpeta raiz de documentos del servidor web, pero conservarlas... me juego la mano a que las conservan, y a que los BOFH de whatsapp se matan a pajas con todas las fotos guarras que recolectan por ahi... xDDD

solo de pensar todo lo que ha pasad por los servidores de whatsapp, que seguramente no borren, me da una mezcla de terror y perversión xDDD

o casi, porque el tema de los emoji está retando a Berni y no funcionan todos aun, asi que paciencia xD