WeChat podatny na zero-click worm

WeChat pod lupą badaczy

Zespół badaczy z firmy Calif opisał i zademonstrował zero-click worma działającego na WeChat, który potrafi przejąć konto na Androidzie i iPhonie po samym przychodzącym połączeniu. Ofiara nie musi nic odbierać ani klikać — wystarczy, że atakujący znajdzie się na liście kontaktów w WeChat.

To ważne, bo WeChat nie jest zwykłym komunikatorem. Dla wielu użytkowników to także platforma do płatności, połączeń, oficjalnych kont i miniaplikacji, więc przejęcie profilu może dać napastnikowi dużo większe możliwości niż sama kontrola czatu.

Jak działał atak

Badacze opisali lukę jako problem memory corruption w stosie VoIP WeChat. Według ich opisu błąd prowadził do remote code execution (RCE), czyli możliwości uruchomienia kodu na urządzeniu ofiary.

Mechanika ataku była zaskakująco prosta:

• połączenie przychodziło z konta znajdującego się w kontaktach ofiary,
• użytkownik nie musiał odebrać telefonu,
• nawet odebranie połączenia nie zatrzymywało ataku,
• odrzucenie połączenia kończyło próbę, ale napastnik mógł spróbować ponownie później.

Po udanym wykorzystaniu luki atakujący zyskiwał pełną kontrolę nad kontem WeChat — mógł czytać i wysyłać wiadomości, wykonywać połączenia oraz działać w imieniu ofiary. Sami badacze podkreślali jednak, że sam exploit nie dawał jeszcze pełnej kontroli nad całym telefonem; do tego potrzebne byłyby kolejne błędy w Androidzie lub iOS.

Łańcuch zaufania i realne ryzyko

Najciekawszy element całej techniki polegał na tym, że WeChat ufa kontaktom użytkownika bardziej niż obcym numerom. To oznacza, że jeśli napastnik przejmie jedno konto w sieci znajomych, może wykorzystać je do dalszego rozprzestrzeniania ataku.

W praktyce więc ograniczenie „atak działa tylko od kontaktu” nie jest dużą przeszkodą. Badacze zauważyli, że przejęcie jednego z kontaktów wystarczy, by dotrzeć do kolejnych ofiar.

W demonstracji jeden telefon z Androidem wykonywał połączenie do iPhone'a i przejmował jego konto jeszcze podczas dzwonienia. Następnie przejęty iPhone mógł zadzwonić na kolejny telefon z Androidem i przejąć następne konto.

Naprawa i wersje aplikacji

Firma Tencent, odpowiedzialna za WeChat, miała otrzymać zgłoszenie luki w lipcu. W kolejnych aktualizacjach pojawiły się wersje uznane za łagodzące problem:

• Android: 8.0.77
• iOS: 8.0.76

Badacze twierdzą, że później exploit został zablokowany także po stronie serwerów Tencent, więc ochrona nie wymagała od użytkowników żadnej dodatkowej akcji. Jednocześnie nie podano pełnej listy wszystkich podatnych wersji ani nie opublikowano szczegółów technicznych błędu.

Warto dodać, że badacze testowali exploit m.in. na Google Pixel 10a i iPhone 17e, a także na wersjach WeChat 8.0.76 dla Androida i 8.0.75 dla iOS. Nie ujawniono jednak, czy inne platformy, takie jak HarmonyOS, Windows, Mac czy Linux, były również sprawdzane.

AI przyspieszyła analizę

Całość powstała z wykorzystaniem narzędzi opartych na AI. Badacze przekonują, że sztuczna inteligencja pomogła im znaleźć błąd i przygotować pierwszy działający exploit w około dwa dni, a później zbudować worma w kolejny tydzień.

To pokazuje, że AI coraz mocniej skraca czas potrzebny do przejścia od odkrycia luki do stworzenia działającego ataku. W tym przypadku chodziło o łańcuch, który jeszcze niedawno wymagałby znacznie większego zespołu i dłuższego czasu pracy.

Dlaczego to ważne

Choć nie pojawiły się doniesienia o rzeczywistych atakach wykorzystujących tę lukę, demonstracja pokazuje, jak groźne mogą być błędy w popularnych aplikacjach komunikacyjnych. Zero-click attack omija jeden z najważniejszych elementów obrony — uwagę użytkownika.

W przypadku aplikacji używanych nie tylko do rozmów, ale też do płatności i obsługi codziennych usług, przejęcie konta może stać się punktem wyjścia do znacznie szerszych nadużyć.