Исследователи Calif разработали первый червь, распространяющийся без клика через голосовые звонки в WeChat. Причем работает как на Android, так и на iOS, позволяя злоумышленникам захватывать учетные записи даже без ответа на звонок. Атака, получившая название WeWorm, представляет собой экспериментальный пример использования уязвимости, связанной с повреждением памяти в стеке VoIP-связи WeChat. Calif сообщила об этой уязвимости компании Tencent в июле, и с тех пор были реализованы меры по ее устранению, которые, по словам исследователей, блокируют использование эксплойта для всех пользователей. В Калифорнийском университете заявили, что их исследователи обнаружили уязвимость с помощью ИИ и разработали первый эксплойт для удаленного выполнения кода (RCE) примерно за два дня. Команда завершила разработку эксплойта для Android 30 июля, версии для iOS - 2 августа, а также создала отточенную кроссплатформенную демонстрацию червя к 11 августа. WeChat - это платформа для обмена сообщениями и социальных сетей от Tencent, которая глубоко интегрирована в повседневное общение и сервисы в Китае, а также широко используется китайскими сообществами по всему миру. С учетом того, что база пользователей превышает миллиард аккаунтов, уязвимость в инфраструктуре телефонной связи, которую можно использовать удаленно, может предоставить злоумышленникам необычайно большую целевую аудиторию. Для демонстрации атаки компания Calif использовала три телефона: два устройства Android Pixel 10a и iPhone 17e. Первый телефон Android позвонил на iPhone, использовал уязвимость WeChat, пока устройство еще звонило, и получил контроль над учетной записью жертвы. Затем взломанный iPhone автоматически стал следующим злоумышленником и позвонил на второй телефон Android, взломав его таким же образом. Жертве не нужно отвечать на входящий звонок. По данным Calif, эксплуатация завершается за считанные секунды и может обеспечить контроль над учетной записью WeChat, включая возможность читать и отправлять сообщения, совершать звонки и выдавать себя за жертву. Ответ на вредоносный звонок не предотвращает эксплуатацию уязвимости, а отказ от него прерывает конкретную попытку. Однако злоумышленник может повторить попытку позже. Однако у этой уязвимости есть одно важное ограничение: учетная запись звонящего должна уже находиться в списке друзей жертвы в WeChat. Calif утверждает, что это не обязательно остановит распространение вируса, подобного червю, поскольку злоумышленник может сначала скомпрометировать существующий контакт, а затем использовать эту доверенную учетную запись для атаки на других людей. Сама по себе продемонстрированная ошибка ставит под угрозу безопасность WeChat, а не всего устройства. Однако, по словам Calif, её можно объединить с отдельными уязвимостями Android или iOS, что потенциально позволит получить более широкий контроль над устройством. Основная проблема заключается в повреждении памяти в реализации VoIP в WeChat, но Calif пока не раскрывает технические подробности, поскольку ведутся дополнительные исследования аналогичных уязвимостей в мессенджерах. Tencent выпустила WeChat для Android 8.0.77 и iOS 8.0.76 21 августа. 28 августа Calif подтвердила, что уязвимость была устранена на стороне сервера для всех пользователей, после чего 3 сентября поделилась с Tencent полным анализом и рабочими эксплойтами.