WhatsApp

Source et contexte: ESET Research (WeLiveSecurity) publie une analyse le 28 janv. 2026 d’une campagne d’espionnage multicanale visant principalement des utilisateurs au Pakistan, combinant un spyware Android baptisé GhostChat, une attaque ClickFix sur Windows et une technique d’appairage de comptes WhatsApp. • GhostChat (Android/Spy.GhostChat.A) se présente comme une appli de chat/dating avec des profils féminins « verrouillés » nécessitant des codes d’accès. Ces identifiants et codes sont en réalité hardcodés et servent d’appât d’exclusivité. L’appli n’a jamais été sur Google Play et nécessite l’installation depuis des sources inconnues. Dès l’exécution (même avant connexion), elle réalise de la surveillance furtive et de l’exfiltration (ID de l’appareil, contacts au format .txt, fichiers locaux: images, PDF, documents Office/Open XML) vers un serveur C2. Elle implémente un content observer pour téléverser les nouvelles images, et un scan périodique (toutes les 5 minutes) des documents. Elle utilise des numéros WhatsApp +92 intégrés pour rediriger les victimes vers des conversations opérées par l’attaquant. Google Play Protect bloque les versions connues via l’ADA. ...

Source: 39c3 — présentation par l’équipe Fuse Security. Le talk revient sur une attaque 0‑click in‑the‑wild visant WhatsApp sur appareils Apple et, par liens techniques, des appareils Samsung, en détaillant et en reproduisant la chaîne d’exploits autour de CVE‑2025‑55177, CVE‑2025‑43300 et CVE‑2025‑21043. • Contexte et chronologie. En août 2025, Apple corrige CVE‑2025‑43300, signalée comme exploitée in‑the‑wild dans une attaque « extrêmement sophistiquée ». Une semaine plus tard, WhatsApp publie un correctif pour CVE‑2025‑55177, également exploitée. Des éléments probants indiquent que ces failles ont été chaînées pour livrer un exploit via WhatsApp et voler des données d’appareils Apple, sans interaction utilisateur. En septembre, Samsung corrige CVE‑2025‑21043, une écriture OOB dans une bibliothèque de parsing d’images, confirmée exploitée. ...

Security Affairs (par Pierluigi Paganini) relaie un rapport de Koi Security sur le package NPM malveillant “Lotusbail”, un fork de la librairie Baileys pour l’API WhatsApp Web, actif depuis six mois et totalisant plus de 56 000 téléchargements. Le package fonctionne comme une API WhatsApp pleinement opérationnelle, en enveloppant le client WebSocket légitime afin que tous les messages y transitent d’abord. Il intercepte identifiants, messages, contacts et médias tout en maintenant le fonctionnement normal, rendant la détection difficile. ...

Selon la documentation du projet open-source « Device Activity Tracker » publiée sur GitHub, et basée sur la recherche « Careless Whisper » (Université de Vienne & SBA Research), un PoC démontre comment exploiter des accusés de réception silencieux pour déduire l’activité d’un appareil sur WhatsApp et Signal. 🔍 Fonctionnement et portée: L’outil mesure le Round-Trip Time (RTT) des accusés de réception pour distinguer un appareil actif (RTT faible) d’un appareil en veille/standby (RTT plus élevé), détecter de possibles changements de réseau (données mobiles vs Wi‑Fi) et tracer des patterns d’activité dans le temps. Une interface web affiche en temps réel les mesures de RTT, l’état détecté et l’historique. ...

Cyber Security News relaie une analyse de Koi identifiant un package npm malveillant, “lotusbail”, actif depuis six mois et se présentant comme un fork de “@whiskeysockets/baileys”. Le module, téléchargé plus de 56 000 fois, fonctionne réellement comme une API WhatsApp Web, ce qui lui permet de passer en production sans éveiller de soupçons tout en dérobant des données sensibles. – Le package vole des jetons d’authentification, des clés de session WhatsApp, l’historique des messages (passés et présents), les annuaires de contacts (numéros) ainsi que les fichiers média et documents. Il maintient en outre un accès persistant aux comptes compromis. ...

Selon un post LinkedIn de Pierre Delcher, un acteur de menace probablement étatique cible toujours des organisations en Europe en décembre, via des campagnes de phishing multicanal (WhatsApp + email), afin d’obtenir l’accès aux comptes Microsoft de cibles de grande valeur. Les victimes identifiées ou probables se trouvent principalement dans des ONG et des think-tanks, avec un intérêt spécifique pour les personnes ou entités impliquées dans des activités en Ukraine. ...

Selon Gen, une nouvelle campagne baptisée « GhostPairing » exploite les mécanismes légitimes de jumelage d’appareils WhatsApp pour réaliser une prise de contrôle de compte sans mot de passe, en s’appuyant sur de l’ingénierie sociale et des pages factices de type Facebook. Les victimes reçoivent, depuis des contacts compromis, un court message mentionnant une « photo » avec un lien affiché comme un aperçu Facebook. La page d’atterrissage imite un « viewer » Facebook et sert en réalité de panneau de contrôle de l’attaquant, qui proxifie le flux de jumelage WhatsApp. La variante la plus utilisée abuse de l’option officielle « lier un appareil via le numéro de téléphone et un code numérique de jumelage » (la variante QR, techniquement possible, est rarement pratique sur un seul appareil). L’utilisateur saisit son numéro, le site de l’attaquant génère puis affiche le code et l’incite à le saisir dans WhatsApp pour « vérifier »; une fois validé, le navigateur de l’attaquant devient un appareil lié au compte de la victime 📱. ...

Selon le blog de Korben (8 décembre 2025), des chercheurs de l’Université de Vienne ont présenté « Careless Whisper », une attaque récompensée Best Paper à RAID 2025, montrant comment exploiter les accusés de réception de WhatsApp (et Signal) pour surveiller un utilisateur à distance sans notification. • L’attaque s’appuie sur des accusés de réception silencieux déclenchés via l’envoi de réactions à des messages inexistants. L’utilisateur ne voit rien (pas de notif, pas de message visible), tandis que l’attaquant mesure les temps de réponse du téléphone pour en tirer des informations. 🕵️ ...

Source: Trend Micro — Dans le contexte d’une vague d’attaques au Brésil exploitant WhatsApp, Trend Micro décrit une campagne Water Saci combinant ingénierie sociale, chaîne d’infection multi‑étapes et automatisation pour livrer un trojan bancaire. La chaîne débute par des pièces jointes malveillantes envoyées depuis des contacts de confiance sur WhatsApp (ZIP, PDF, et surtout HTA déclenchant immédiatement un VBScript obfusqué). Le script crée un batch (C:\temp\instalar.bat) qui récupère un MSI contenant un chargeur AutoIt (DaXGkoD7.exe + Ons7rxGC.log). Le code vérifie parfois la langue Windows (0416, pt-BR), inventorie les dossiers/URL bancaires, détecte des antivirus, puis décrypte un payload via un RC4‑like custom (seed 1000) et décompresse avec LZNT1 (RtlDecompressFragment). Le trojan est injecté par process hollowing dans svchost.exe, avec persistance via Run et ré‑injections conditionnées à l’ouverture de fenêtres bancaires. ...

Source et contexte — University of Vienna (univie.ac.at) publie une étude montrant qu’une faiblesse de confidentialité dans le mécanisme de découverte de contacts de WhatsApp a permis l’énumération massive de comptes, divulguée de manière responsable et désormais mitigée par Meta. • Les chercheurs de l’University of Vienna et SBA Research ont démontré qu’il était possible de sonder plus de 100 millions de numéros par heure via l’infrastructure de WhatsApp, confirmant plus de 3,5 milliards de comptes actifs dans 245 pays. Cette vulnérabilité de confidentialité exploitait la logique de découverte de contacts pour répondre à un volume de requêtes anormalement élevé depuis une même source. 🔎 ...