Nos últimos dias, o WhatsApp disponibilizou uma atualização para sua versão no Windows, corrigindo uma vulnerabilidade que permitia a execução de código malicioso escondido em mensagens disfarçadas de imagens.
Atualização disponível
O WhatsApp corrigiu a vulnerabilidade por meio de uma atualização automática. Para estar protegido, é necessário utilizar a versão 2.2450.6 ou uma mais recente do aplicativo no Windows. Você pode verificar manualmente se o app está atualizado:
Vulnerabilidade detectada
A falha foi registrada como CVE-2025-30401 e descoberta por um pesquisador independente por meio do programa de Bug Bounty da Meta. Segundo a empresa, não há evidências de que a vulnerabilidade tenha sido explorada ativamente – a descoberta em tempo hábil permitiu a correção antes que pudesse ser usada de forma maliciosa.
Em que consistia a falha
A exploração dessa vulnerabilidade permitia que cibercriminosos enviassem arquivos executáveis (.exe) camuflados como imagens ou outros arquivos aparentemente inofensivos, como PDFs. Isso era possível por meio da manipulação do tipo MIME, que determina como o aplicativo interpreta e exibe o conteúdo do arquivo.
Dessa forma, um arquivo malicioso com extensão .exe podia parecer uma imagem legítima e segura. Visualmente, o arquivo era apresentado conforme o tipo MIME declarado, mas, ao ser aberto, era executado pelo programa associado à sua extensão real - o que possibilitava a execução inadvertida de código malicioso.
O cibercriminoso podia enganar a vítima, fazendo-a acreditar que estava recebendo uma imagem, um PDF ou outro tipo de documento comum. No entanto, ao clicar no arquivo, ele era executado como um programa malicioso, potencialmente instalando malware como infostealers, spyware e outras ameaças.
O que é MIME?
MIME (Multipurpose Internet Mail Extensions) é um padrão que permite que os aplicativos identifiquem o tipo de conteúdo de um arquivo e o interpretem corretamente. Por exemplo, image/jpeg indica uma imagem no formato JPG, e application/pdf indica um arquivo PDF.
Ao manipular o tipo MIME, o cibercriminoso conseguia enganar tanto o aplicativo quanto o usuário, aumentando as chances de o arquivo ser aberto, já que ele parecia inofensivo à primeira vista.
Histórico das últimas vulnerabilidades corrigidas
Em julho de 2024, o WhatsApp corrigiu um problema similar que permitia a execução de arquivos anexados em Python e PHP - sem qualquer aviso - em usuários que tivessem o Python instalado. Mais recentemente, após um relatório de pesquisadores do Citizen Lab da Universidade de Toronto, a Meta corrigiu uma vulnerabilidade zero click e zero day, que estava sendo explorada para instalar o spyware Graphite da Paragon.
Preste atenção a esses mensagens estranhas e inesperados
É importante lembrar que prevenir é melhor do que remediar. Sempre que receber uma mensagem de um contato não agendado - e especialmente se disser ser de uma instituição, como um banco, órgão governamental ou serviço - e exigir uma ação urgente de sua parte, não responda nem clique em links.
Se possível, bloqueie o remetente e, em seguida, entre em contato com a instituição para verificar se a mensagem é legítima. De fato, as políticas de bancos, serviços ao cidadão e atendimento ao cliente não permitem que operadores solicitem senhas, chaves ou códigos de validação.
Esses tipos de mensagens inesperadas, que tentam forçar uma ação imediata, são características das campanhas de phishing, que se tornam cada vez mais difíceis de identificar. O objetivo final é o roubo de suas informações ou um golpe envolvendo a compra de produtos inexistentes a preços irrealistas, entre outros tipos de golpe. As desculpas são infinitas e os mensagens cada vez mais convincentes, com design mais elaborado, para fazer novas vítimas.
Como se proteger
- Mantenha seus dispositivos, sistemas operacionais e aplicativos atualizados. As atualizações não apenas melhoram a experiência, mas também corrigem vulnerabilidades encontradas.
- Use uma solução antimalware ou antivírus e mantenha-a sempre atualizada.
- Tenha cuidado ao lidar com arquivos recebidos pelo WhatsApp, pois os cibercriminosos estão sempre em busca de novas formas de enganar. Fique atento!
- Lembre-se de que, além das vulnerabilidades exploradas pelos cibercriminosos, mensagens de phishing e outros golpes estão cada vez mais frequentes. Desconfie de mensagens urgentes de pessoas ou entidades com as quais você não está familiarizado. Sempre verifique com a fonte original.
- Nunca forneça informações pessoais ou financeiras a desconhecidos e lembre-se de que ninguém pode pedir suas senhas ou códigos de validação.
