În cercetarea Calif, un apel WeChat a devenit suficient pentru preluarea contului

Un simplu apel WeChat primit de la un contact compromis putea prelua contul în câteva secunde, fără ca utilizatorul să răspundă sau să interacționeze cu telefonul, potrivit Calif. Cercetătorii de la Calif au descris WeWorm drept primul vierme „zero-click” capabil să se propage prin apeluri WeChat între dispozitive iOS și Android.

Exploatarea începea în timp ce telefonul încă suna. Un apel primit de la un contact compromis putea prelua contul, după care acesta putea apela automat alte contacte. Tencent a remediat problema înainte de publicarea detaliilor tehnice complete.

Vulnerabilitatea a fost blocată la nivel de server pentru toți utilizatorii până pe 28 august, iar pe 4 septembrie compania a confirmat că putea permite executarea de comenzi de la distanță.

Vulnerabilitatea prelua contul, fără a controla întregul telefon

WeWorm exploata o problemă de corupere a memoriei în componenta VoIP a WeChat și permitea executarea de cod la distanță, cunoscută și ca RCE. Atacatorul obținea controlul asupra contului WeChat în câteva secunde și putea acționa în numele victimei.

În cadrul testelor Calif, un telefon Android Pixel 10a a apelat un iPhone 17e, iar contul WeChat de pe iPhone a fost preluat în timp ce telefonul încă suna. Ulterior, iPhone-ul compromis a apelat un al doilea Pixel 10a, care a fost preluat în același mod.

Victima nu trebuia să răspundă la apel și nu trebuia să apese pe vreun link sau să interacționeze cu telefonul. Chiar și răspunsul la apel nu oprea exploatarea. Respingerea apelului bloca doar tentativa respectivă, însă atacatorul putea încerca din nou ulterior, inclusiv când utilizatorul dormea sau nu se afla lângă telefon.

Atacatorul trebuia să fie în lista de prieteni WeChat a victimei. Această condiție putea fi depășită prin compromiterea inițială a unui contact, al cărui cont era folosit apoi pentru a apela alte persoane din rețeaua de încredere.

După preluarea contului, atacatorul putea citi și trimite mesaje, efectua apeluri și acționa în numele victimei. Vulnerabilitatea WeChat nu oferea automat control asupra întregului sistem de operare.

Controlul complet asupra unui dispozitiv iOS sau Android era posibil prin combinarea vulnerabilității WeChat cu alte vulnerabilități ale sistemului de operare. Calif a raportat și astfel de probleme, dar nu a publicat întregul lanț de atac.

Inteligența artificială a redus timpul de creare a exploitului

WeChat este descrisă de Calif drept o aplicație de tip „everything app”, folosită de aproape toată lumea din China și de comunitățile chineze din întreaga lume. Playtech indică peste un miliard de utilizatori WeChat.

Echipa Calif a identificat vulnerabilitatea și a dezvoltat primul exploit RCE în aproximativ două zile, cu ajutorul instrumentelor de inteligență artificială. Construirea versiunii demonstrative a viermelui a mai durat aproximativ o săptămână.

„AI poate deja să facă cea mai mare parte a muncii aici. Echipa noastră a furnizat judecata necesară pentru a decide ce să vizăm și cum să testăm în siguranță.”

Calif a descris scenariul ca fiind capabil, dacă ar fi fost exploatat la scară, să compromită „peste un miliard de telefoane (sau conturi)”. Pentru organizațiile care folosesc WeChat în comunicarea internă, un cont compromis putea deveni un punct de propagare prin relațiile de încredere.

Compania susține că AI accelerează atât apărarea, cât și atacurile. „Nu credem că aceasta este lecția corectă. Vulnerabilitățile există deja. Ceea ce a schimbat AI este că le putem găsi și remedia rapid. Credem că există mai mulți oameni buni decât răi și, dacă sunt atenți, AI le oferă celor buni avantajul.”

Cercetătorii compară riscul ca o versiune incompletă sau un accident de laborator să ajungă în circulație cu cazul WannaCry, despre care afirmă că a pornit de la instrumente scăpate prematur și a lovit spitale.

Calif a raportat vulnerabilitatea către Tencent în iulie, iar Playtech precizează data de 24 iulie. Versiunile WeChat 8.0.77 pentru Android și 8.0.77 pentru iOS au fost lansate pe 21 august. Calif va prezenta analiza tehnică completă a bugului la o conferință viitoare și desfășoară cercetări similare asupra altor aplicații de mesagerie și suprafețe de atac.

Parteneri

Articole recomandate din rețeaua noastră

LylaInjecțiile pentru ridurile de expresie nu încep obligatoriu la 30 de ani. Ce contează la consultațieRevista IoanaCei care lucrează de luni până vineri au patru zile libere între 28 noiembrie și 1 decembrie 2026News24Droguri găsite la o tabără de dezvoltare personală din Hunedoara. Organizatorii au fost reținuțiDolce SportLotul României pentru meciul cu Danemarca la futsal din 8 noiembrie are 14 jucători. Biletul costă 25 de leiGetPonyAFM redeschide Rabla Auto 2026 pe 3 noiembrie, iar cererile vechi nu mai sunt valabileBravonetActrița Barbara Barrie a murit la 95 de ani cu ajutor medical pentru a-și încheia viața