Den Whatsapp-Hack, der in den letzten Tagen für Aufsehen sorgte, hat ein italienischer Student mit Linux-Bordmitteln bewerkstelligt. Mit erstaunlich wenig Aufwand und ebenso wenig nötigem Fachwissen zeigt Flavio Giobergia, wie schnell auch Unbekannte Whatsapp-Anwender ausforschen können und so zumindest deren Online-Gewohnheiten abrufen können.
Die Tools sind einfach, auf fast jedem Linux-Rechner vorhanden, nur die Android-Debug-Bridge ADB (im Android SDK) muss der Interessierte separat installieren, damit er den Hack von Giobergia nachvollziehen kann.
Wenn alles klappt, was der Italiener in seinem Ruby-Skript macht – das er “nach nur zwei Wochen Ruby Lernen” erstellt habe – dann lassen sich so ohne Klimmzüge die Online- und Offline-Gewohnheiten von Whatsapp-Anwendern erfassen und protokollieren. Einzige Voraussetzung dafür ist die Telefonnummer des Opfers, den Rest liefert der Whatsapp-Client. Die ganze Anleitung findet sich hier.
Via Debug-Console
Was es dazu braucht ist ein Android-Gerät, das per USB an den Rechner angeschlossen und via ADB erreichbar ist. Seiner Anleitung nach erstellt Giobergia mit dem Befehl “adb shell screencap -p | sed ‘s/\r$//’ > screen.png” Screenshots, die er anschließend mit Convert in PPM-Dateien umwandelt und mit simpelsten Bordmitteln auswertet.
Weil im auf schwarz-weiß umgewandelten PPM Zahlen und Buchstaben recht leicht erkennbar sind, hat der Italiener auch seine eigene Routine für die OCR geschrieben, die beispielsweise für den Buchstaben “l” definiert: “‘l’=>[[1,1,1,1,1,1,1,1,1,1,1,0,0,0]],” . 0 steht für weiß, 1 für schwarz. Als letzten Schritt parsed sein Skript noch den aus der OCR resultierenden String und erhält so den Online/Offline-Status.
Ruby-Anfänger
Giobergia entschuldigt sich sogar für sein Skript, weil dies “das erste Ruby-Skript” sei, das er geschrieben habe – nachdem er erst zwei Wochen diese Sprache lerne. Außerdem nennt er das Ganze eher einen Proof-of-Concept, der zeige, wie leicht es sei, eine Person teilweise auszuforschen, wenn man nur die Telefonnummer habe.
