Исследователи Calif показали вредоносный прототип WeWorm, способный заражать учетную запись WeChat через входящий звонок от добавленного контакта. Пользователю не требовалось отвечать или нажимать ссылку. После компрометации червь мог звонить друзьям и распространяться дальше. Компания сообщила о проблеме Tencent; по данным авторов исследования, уязвимость уже устранена для всех пользователей.
История выглядит как сюжет из эпохи первых сетевых червей, только вместо вложения в письме используется VoIP-звонок, а поиск ошибки ускорили современные инструменты. Важно не потерять в драматичном описании главный факт: Calif опубликовала результаты после исправления, а не инструкцию к действующей атаке.
Почему WeWorm называют zero-click-червем
Обычный фишинг требует действия: открыть файл, перейти по адресу, подтвердить установку. Zero-click-атака использует обработку входящих данных приложением до осознанного решения человека. Телефон уже принимает технические данные о вызове, код WeChat их разбирает — и ошибка срабатывает, даже если владелец смотрит на экран и решает не отвечать.
Calif пишет, что компрометация занимала секунды. Получив контроль над одной учетной записью, прототип мог использовать ее для вызова друзей и дальнейшего распространения. Для первой попытки атакующий должен был находиться в списке контактов жертвы, но уже захваченная учетная запись давала ему доступ к следующему кругу доверенных контактов. Защитой здесь не служит осторожность при ссылках: отвечать на звонок было не нужно.
Исследователи называют WeWorm первым zero-click-червем, распространяющимся через звонки WeChat на iOS и Android. Это формулировка авторов работы, а не независимый рекорд, подтвержденный всеми отраслевыми организациями. Она, однако, точно передает необычность демонстрации: один механизм затрагивал две мобильные платформы и превращал список контактов в маршрут распространения.
Какую роль сыграли инструменты искусственного интеллекта
Команда утверждает, что при помощи автоматизированных инструментов нашла ошибку и собрала первый рабочий RCE-эксплойт примерно за два дня. RCE означает удаленное выполнение кода: приложение заставляют выполнить команды, которых разработчик не предусматривал.
Авторы не раскрыли в коротком сообщении, какая именно система использовалась. Поэтому приписывать находку конкретной публичной модели нельзя. Корректный вывод скромнее и одновременно тревожнее: автоматизация сокращает время не только на написание обычных программ, но и на поиск опасных ошибок. Та же скорость доступна защитникам и потенциальным злоумышленникам.
Calif представила исследование как пример ответственного раскрытия. Сначала команда передала сведения Tencent, дождалась устранения и лишь затем опубликовала демонстрацию. Подробный исследовательский материал объясняет сценарий без необходимости превращать новость в руководство по эксплуатации.
Работает ли атака сейчас
По заявлению Calif, Tencent выпустила исправляющие версии WeChat 8.0.77 для Android и 8.0.76 для iOS, а затем закрыла возможность эксплуатации на серверной стороне для всех пользователей. Публичных сведений о массовом заражении реальных аккаунтов WeWorm нет. Сам WeWorm был доказательством возможности атаки, а не обязательно обнаруженным в дикой сети вредоносом.
Короткая новость о работе уже появилась у 3DNews. В ней приводятся дополнительные технические детали, но статус остается тем же: проблема исправлена. Сообщения, предлагающие скачать «антивирус именно от WeWorm» или установить неизвестный APK, следует рассматривать как отдельную попытку обмана.
Что делать пользователям WeChat
Нужно обновить WeChat через App Store или Google Play и установить доступные обновления iOS или Android. Даже если исправление уже применено на серверной стороне, актуальная версия приложения остается самым надежным состоянием. На Android не следует загружать модифицированные сборки из случайных каналов; они не получают исправления одновременно с официальным клиентом.
Полезно проверить активные сеансы и устройства в настройках учетной записи. Неожиданные исходящие звонки, сообщения контактам или входы требуют завершить чужие сеансы, сменить пароль и обратиться в поддержку. Двухфакторная защита полезна против захвата учетной записи, хотя сама по себе не обязана остановить ошибку удаленного выполнения кода внутри уже авторизованного приложения.
Организациям, использующим WeChat для работы, стоит убедиться, что мобильные устройства получают обязательные обновления, а корпоративные данные не хранятся бесконтрольно в личных чатах. Zero-click-атаки опасны именно тем, что перекладывать всю ответственность на внимательность сотрудника бессмысленно: нельзя «не нажать» то, что срабатывает без нажатия.
WeWorm — неприятный, но в данном случае правильно завершенный пример. Исследователи нашли уязвимость, передали ее разработчику и опубликовали сведения после устранения. Для пользователя вывод прозаичен: обновить приложение, проверить сеансы и не устанавливать сомнительные «лекарства». Иногда лучшая кибербезопасность выглядит не как фильм о хакерах, а как скучная кнопка Update.
Подписывайтесь на Telegram-канал Digital Report, чтобы получать разборы новых угроз без инструкций для злоумышленников и без преувеличения риска.
