WeWorm: AI pomohla vytvořit červa, který převzal WeChat jediným hovorem

WeWorm byl výzkumný demonstrátor samošířícího se počítačového červa, který vytvořila bezpečnostní firma Calif. Měl ukázat závažnou slabinu v hlasových hovorech aplikace WeChat: speciálně připravený příchozí hovor mohl během několika sekund převzít účet WeChat, i když jej příjemce vůbec nezvedl ani s telefonem nijak nepracoval. Calif chybu před zveřejněním soukromě nahlásil společnosti Tencent; následně byly nasazeny opravy a další zmírnění rizika. 1014

Útok bez kliknutí: problém nastal už při vyzvánění

Zranitelnost se nacházela ve VoIP vrstvě WeChatu, tedy v části aplikace zajišťující internetové hovory. Šlo o chybu typu poškození paměti. Podle Calif se exploit mohl spustit už ve chvíli, kdy telefon vyzváněl — oběť nemusela otevírat odkaz, stahovat přílohu ani hovor přijmout. 103

Právě to z něj dělalo zero-click útok: zranitelný software zpracoval příchozí hovor dříve, než byl nutný jakýkoli smysluplný zásah uživatele. Calif nezveřejnil technické detaily chyby ani exploitu, aby neumožnil jeho snadné napodobení. 10

Proč se mohl šířit jako červ

Běžné převzetí účtu může skončit u jediné oběti. Červ je nebezpečnější v tom, že každý nově kompromitovaný účet využívá jako odrazový můstek k dalším cílům. V demonstraci WeWorm mohl převzatý účet volat lidem uloženým v kontaktech či seznamu přátel a zkoušet stejný postup znovu. 110

To mělo dvě důležité stránky:

• hovor z účtu známého člověka může působit důvěryhodněji;
• šíření se mohlo pohybovat sociální sítí kontaktů bez ručního výběru každé další oběti;
• útok ale nebyl určen k libovolnému oslovení každého uživatele WeChatu od nuly — vyžadoval existující vazbu v kontaktech nebo přátelích. 1

Calif předvedl řetězec mezi zařízeními s Androidem a iOS, tedy koncept šíření napříč oběma mobilními platformami. Tvrzení, že by se nákaza mohla dostat ke stovkám milionů účtů, je nutné chápat jako odhad možného šíření v rozsáhlé síti WeChatu, nikoli jako důkaz, že k takové masové nákaze skutečně došlo. 1013

Co by útočník získal

Calif popsal dopad jako plnou kontrolu nad účtem WeChat. Útočník by tak mohl číst a posílat zprávy, uskutečňovat hovory, vydávat se za majitele účtu a oslovovat jeho další kontakty. 18

To ale není totéž co automatické kompletní ovládnutí iPhonu nebo telefonu s Androidem. Demonstrovaný dopad byl na úrovni účtu WeChat; pro převzetí celého zařízení by podle Calif byly nutné další, samostatné zranitelnosti. 14

Jakou roli měla umělá inteligence

Výzkumníci Calif uvedli, že s pomocí AI našli chybu a vytvořili první exploit pro vzdálené spuštění kódu přibližně za dva dny. Samotný demonstrátor červa pak dokončili zhruba během dalšího týdne. 108

Podstatné není tvrzení, že by AI samostatně vedla útok. Ukázka spíše ilustruje, že dokáže výrazně zkrátit práci potřebnou pro hledání slabiny, ladění, opakované úpravy exploitu a jeho přizpůsobení. Stejné schopnosti ovšem mohou pomáhat i obráncům při analýze softwaru a rychlejším opravování chyb.

Veřejný popis WeWormu uvádí pouze práci „s AI“, nikoli konkrétní jazykový model či programovací nástroj. Není proto podloženo tvrdit, že projekt využil právě Claude, GPT, Codex nebo jiný konkrétně pojmenovaný produkt. 10

Opravy, mitigace a skutečné riziko

Calif uvedl, že zranitelnost soukromě nahlásil Tencentu v červenci. Tencent podle firmy vydal 21. srpna verze WeChat Android 8.0.77 a iOS 8.0.76; Calif později uvedl, že serverová mitigace exploit zablokovala pro všechny uživatele. Tencent potvrdil, že chyba mohla umožnit vzdálené spuštění příkazů. 1014

Je důležité oddělit demonstraci od skutečného incidentu. Veřejně dostupné informace popisují WeWorm jako proof of concept a neexistují veřejné důkazy, že by jej Calif nasadil proti reálným uživatelům nebo že vyvolal masovou nákazu „ve volné přírodě“. 9

Co si z případu odnést

WeWorm spojil tři mimořádně rizikové vlastnosti: útok bez kliknutí, samošíření přes důvěryhodné kontakty a fungování napříč iOS a Androidem. I když byla popsaná chyba zmírněna, případ připomíná, že komunikační funkce, které aplikace automaticky zpracovávají — zejména hovory — jsou cenným cílem útočníků.

Pro uživatele zůstává praktická rada stejná: pravidelně aktualizovat WeChat i operační systém telefonu. Pro vývojáře je lekcí důkladné testování paměťové bezpečnosti, ochrana zpracování příchozích hovorů, rychlé kanály pro hlášení zranitelností a více vrstev zabezpečení obnovy účtů i přihlašovacích relací. 1014