Zero‑Click DNG: Tệp ảnh biến WhatsApp thành công cụ chiếm quyền iOS và macOS

[WhiteHat Team]

Một chuỗi khai thác zero-click mới nhắm vào WhatsApp đang được lợi dụng trên iOS, macOS và iPadOS. Kẻ tấn công gửi một tệp ảnh DNG độc hại và nhờ cơ chế xử lý media tự động của ứng dụng, payload được kích hoạt ngay khi tin nhắn được ghi nhận mà không cần nạn nhân tương tác. Tính im lặng của phương thức này khiến việc phát hiện gần như không thể.

Chuỗi khai thác bắt đầu bằng một lỗi logic trong cách WhatsApp xử lý tin nhắn, được gán mã CVE‑2025‑55177. Bản chất là xác thực nguồn không đủ chặt trong luồng đồng bộ thiết bị liên kết, tức client có thể chấp nhận một nội dung vào lịch sử chat mà không kiểm tra chắc chắn rằng tin nhắn thực sự đến từ thiết bị liên kết hợp lệ. Khi bước xác thực này bị bỏ qua, kẻ tấn công có thể chèn một tệp DNG độc hại vào hàng đợi xử lý đa phương tiện của ứng dụng thay vì buộc tệp ở trạng thái chờ tương tác của người dùng và từ đó tệp được chuyển thẳng sang lớp phân tích của hệ điều hành.

Khi một tệp DNG bị chỉnh sửa được đưa vào quá trình phân tích, nó khai thác CVE‑2025‑43300, một lỗ hổng trong thư viện đọc ảnh DNG/TIFF của hệ điều hành. Vấn đề là chương trình phân tích không kiểm tra kỹ các thông số như vị trí dữ liệu, kích thước các phần dữ liệu và các mục trong header, dẫn tới việc ghi đè hoặc đọc sai vùng bộ nhớ quan trọng. Khi vùng bộ nhớ này bị thay đổi, kẻ tấn công có thể chiếm quyền điều khiển thiết bị và thực thi mã tùy ý. Khi kết hợp với việc WhatsApp không kiểm tra chặt nguồn tin nhắn, một tệp media vốn được tin tưởng ngay lập tức trở thành phương tiện xâm nhập cực kỳ nguy hiểm.

Nhóm DarkNavyOrg đã trình diễn một bằng chứng khái niệm tự động hóa toàn bộ chuỗi tấn công. Công cụ PoC của họ thực hiện đăng nhập vào tài khoản WhatsApp, sinh tệp DNG có header được chỉnh sửa đúng cách và gửi payload tới số điện thoại mục tiêu. Theo mô tả, quá trình khai thác hoàn tất ngay khi tin nhắn được giao và từ góc nhìn của kẻ tấn công không cần bất kỳ tương tác nào từ nạn nhân.

Hậu quả của việc khai thác thành công là toàn bộ thiết bị có thể bị chiếm quyền kiểm soát, bao gồm chiếm quyền thiết bị, rò rỉ tin nhắn, danh bạ, ảnh và thông tin đăng nhập, kích hoạt camera và micro để giám sát, cài backdoor duy trì truy cập lâu dài và điều chỉnh cài đặt hệ thống để vô hiệu hóa biện pháp bảo vệ hoặc xóa dấu vết. Tính tàng hình của chuỗi khai thác này khiến việc phát hiện bằng mắt thường và nhiều lớp bảo mật truyền thống trở nên rất khó khăn.

WhatsApp và Apple đều đã xác nhận tồn tại các lỗ hổng và đang phối hợp để phát hành bản vá. Trong khi chờ bản vá, cần triển khai các biện pháp tạm thời sau:

Người dùng thông thường:

• Cập nhật WhatsApp ngay khi phiên bản vá được phát hành
• Giữ hệ điều hành iOS, macOS và iPadOS luôn ở trạng thái mới nhất để nhận các bản sửa lỗi trên thư viện xử lý media
• Thận trọng với các tin nhắn đa phương tiện không mong muốn, kể cả khi đến từ địa chỉ liên lạc đáng tin, vì kỹ thuật giả mạo nguồn có thể khiến tin nhắn trông như gửi từ thiết bị liên kết hợp lệ

Đối với các tổ chức:

• Xem xét triển khai giải pháp kiểm tra nội dung ở điểm kiểm soát mạng để phát hiện các tệp DNG bất thường
• Áp dụng chính sách chặn hoặc cách ly các định dạng media nguy cơ cao
• Chuẩn bị quy trình điều tra thí điểm cho các dấu hiệu zero-click, bao gồm:
  • Kiểm tra các bản ghi xử lý media
  • So sánh giá trị hash của tệp media đã nhận
  • Rà soát hành vi bất thường của quy trình xử lý media trên máy chủ và thiết bị
• Kiểm toán lưu lượng và tệp media trên kênh nhắn tin nội bộ để phát hiện sớm hoạt động bất thường trước khi kẻ tấn công đạt mục tiêu

DarkNavyOrg cũng cho biết họ đang điều tra các khai thác zero-click liên quan và gợi ý về một lỗ hổng liên quan Samsung mã CVE-2025-21043 đang được phân tích. Chuỗi sự kiện này nhắc nhở cộng đồng rằng việc quản lý rủi ro trong các ứng dụng nhắn tin đa nền tảng không chỉ là vá lỗ hổng đơn lẻ mà còn là nỗ lực liên tục nhằm giảm thiểu những bề mặt tấn công mới xuất hiện từ các định dạng file tưởng chừng vô hại.

Mô phỏng tấn công xem tại đây.

Theo Cyber Press​