Meta'nın WhatsApp'ında gizli tehlike: İşletim sistemi parmak izinizi mi alıyor?

Dünya çapında aylık 3 milyardan fazla aktif kullanıcıya sahip WhatsApp, mesaj güvenliği için uçtan uca şifreleme teknolojisini kullanmaktadır. Ancak, uygulamanın çoklu cihaz özelliği, kullanıcıların cihaz işletim sistemi detayları başta olmak üzere hassas meta verileri sızdırmakta, bu bilgileri kötü niyetli aktörlerin istismarına açık hale getirmektedir. Araştırmacılar tarafından ortaya konan bulgular, saldırganların bu açıkları pasif olarak istismar ederek hedefli kötü amaçlı yazılım dağıtımı gerçekleştirebildiğini göstermektedir.

WhatsApp'ın şifreleme yapısındaki zayıflık

WhatsApp'ın uçtan uca şifreleme sistemi, gönderenin her alıcı cihazıyla ayrı oturumlar kurmasını gerektirmektedir. Bu süreçte, sunucularda değil doğrudan cihazlarda oluşturulan benzersiz şifreleme anahtarları kullanılmaktadır. Teoride bu yapı güvenli görünse de, uygulamada ciddi açıklar bulunmaktadır. İmzalı Ön Anahtar (Signed PK) ve Tek Kullanımlık Ön Anahtar (OTPK) gibi anahtar kimliklerindeki uygulama farklılıkları, bir cihazın Android veya iOS işletim sistemini çalıştırıp çalıştırmadığını ortaya çıkarmaktadır. Bu bilgi, siber saldırganlar açısından son derece değerlidir çünkü hedefli saldırı planlaması için kritik bir rol oynamaktadır.

Saldırganlar bu açığı istismar ederken, kullanıcı etkileşimi gerektirmemektedir. WhatsApp sunucularını pasif olarak sorgulayarak oturum anahtarlarına erişebilmektedirler. Bu yöntem sayesinde, kurbanların hiçbir şekilde uyarılmadan işletim sistemi türleri belirlenebilmektedir. Belirlenen bilgiler doğrultusunda, saldırganlar Android cihazlara özgü kötü amaçlı yazılımlar dağıtabilmekte, iOS cihazlarını hedef almaktan kaçınabilmektedir. Bu seçici saldırı yöntemi, başarı oranını artırmakta ve tespit edilme riskini azaltmaktadır.

Araştırmaların ortaya koyduğu tehdit boyutu

2024 yılının başında WOOT'24 konferansında Tal A. Be'ery tarafından sunulan araştırma, WhatsApp'ın Signal protokolüne dayanan yapısında cihaz sayısı, türleri ve kimliklerinin nasıl sızdırıldığını detaylı biçimde ortaya koymaktadır. Aynı yıl içinde, saldırganlar bu bilgileri kullanarak belirli cihazları tam olarak hedef alabilecek kadar ileri gitmişlerdir. 2025 yılında WOOT'25 konferansında Gabriel Karl Gegenhuber ve diğer araştırmacılar, işletim sistemi parmak izi alma tekniklerini derinlemesine incelemişlerdir. Bulgularına göre, Android İmzalı PK kimlikleri 0'dan başlayarak aylık olarak yavaş bir şekilde artarken, iOS cihazlarının kimlikleri keskin bir şekilde farklılık göstermektedir.

Tal A. Be'ery, bu bulguları özel araçlarla doğrulamış ve saldırganların bu sızıntıları gerçekten zincirlediğini onaylamıştır. Saldırganların izlediği yöntem oldukça sistematiktir: önce işletim sistemini tespit etmek, ardından işletim sistemine özgü yükleri tespit edilmeden dağıtmak. Bu yaklaşım, Paragon casus yazılım vakalarında görüldüğü gibi, gelişmiş kalıcı tehditlerin (APT'ler) WhatsApp'ı kötü amaçlı yazılım dağıtımı için bir vektör olarak kullanmasını mümkün kılmaktadır. Sorgulamalar sırasında kullanıcılara herhangi bir bildirim gönderilmediğinden, saldırganlar tamamen gizli bir şekilde hareket edebilmektedir.