WeWorm forklaret: AI-hjulpet WeChat-orm kunne kapre konti via ubesvarede opkald

WeWorm var en AI-hjulpet forskningsdemo af en computerorm, udviklet af sikkerhedsfirmaet Calif. Den udnyttede en alvorlig fejl i WeChats kode til taleopkald og kunne ifølge Calif kompromittere modtagerens WeChat-konto på få sekunder – også hvis personen hverken besvarede opkaldet eller rørte telefonen. Calif oplyser, at firmaet rapporterede problemet til Tencent før offentliggørelsen, og at Tencent efterfølgende indførte afværgende foranstaltninger. 1014

Sådan virkede zero-click-angrebet

Fejlen lå i WeChats VoIP-stack, altså den del af appen, der håndterer internetbaserede taleopkald. Calif beskrev sårbarheden som hukommelseskorruption. Et særligt udformet indgående opkald kunne udløse udnyttelsen, mens telefonen ringede – uden et klik på et link, en åbnet fil eller et besvaret opkald. 103

Det er netop det, der menes med et zero-click-angreb: Den sårbare software behandler indholdet, før brugeren behøver foretage sig noget. Calif har undladt at offentliggøre de konkrete tekniske detaljer om sårbarheden og udnyttelsen, hvilket mindsker risikoen for kopiering. 10

Hvorfor det kunne sprede sig som en orm

En orm adskiller sig fra en enkelt kontooverdragelse ved at kunne bruge hver ny kompromitteret konto til at nå videre til andre. I Califs demonstration kunne den overtagne WeChat-konto ringe til personer i kontoens gemte kontakter eller venneliste og forsøge samme angreb igen. 110

Spredningen via kontakter var både effektiv og begrænset:

• Et opkald fra en kendt konto kan fremstå mindre mistænkeligt.
• Ormen kunne bevæge sig gennem WeChats netværk af kontakter uden, at en angriber manuelt skulle udvælge hvert mål.
• Angrebet var afhængigt af en eksisterende kontakt- eller venskabsforbindelse og kunne derfor ikke uden videre nå enhver vilkårlig WeChat-bruger. 1

Calif viste en kæde på tværs af Android og iOS, hvilket demonstrerede, at spredningsprincippet fungerede på tværs af platforme. Påstande om, at angrebet potentielt kunne nå hundredvis af millioner konti, var beregninger af mulig spredning i WeChats store netværk – ikke dokumentation for, at det faktisk skete. 1013

Hvad en angriber kunne få adgang til

Calif beskrev resultatet som fuld kontrol over WeChat-kontoen. Det kunne give en angriber mulighed for at læse og sende beskeder, foretage opkald, udgive sig for at være kontoindehaveren og bruge kontoen til at angribe flere kontakter. 18

Det er ikke det samme som fuld overtagelse af en iPhone eller Android-telefon. Den påviste konsekvens var kontrol på kontoniveau; Calif oplyste, at yderligere sårbarheder ville være nødvendige for at gøre det til et komplet kompromis af selve enheden. 14

AI's rolle – og det, vi ikke ved

Ifølge Calif brugte holdet AI til at finde fejlen og skrive en første udnyttelse, der muliggjorde fjernudførelse af kode, på omkring to dage. Selve ormedemonstrationen blev derefter bygget på cirka en uge. 108

Pointen er ikke, at AI selvstændigt gennemførte et angreb. Demonstrationen viser snarere, hvordan AI kan mindske den tid og specialistviden, der kræves til sårbarhedsanalyse, fejlsøgning, udvikling og tilpasning af udnyttelser. De samme muligheder kan også bruges defensivt til at analysere software og fremskynde rettelser.

Califs offentlige beskrivelse siger, at teamet arbejdede med AI, men angiver ikke pålideligt en bestemt model eller et bestemt kodeværktøj. Derfor er der ikke belæg for at fastslå, at WeWorm specifikt blev udviklet med Claude, GPT, Codex eller et andet navngivet værktøj. 10

Rettelser, afværgelse og den faktiske risiko

Calif oplyser, at firmaet rapporterede sårbarheden privat til Tencent i juli. Ifølge Calif udgav Tencent WeChat Android 8.0.77 og iOS 8.0.76 den 21. august, og en senere serverbaseret afværgelse blokerede udnyttelsen for alle brugere. Tencent bekræftede, at sårbarheden kunne muliggøre fjernudførelse af kommandoer. 1014

Det er væsentligt at skelne mellem en demonstration og et angreb i virkeligheden. Den offentlige rapportering omtaler WeWorm som et proof of concept, og der er ingen offentlige beviser for, at Calif brugte den mod rigtige brugere, eller at den førte til en omfattende infektion i praksis. 9

Hvad WeWorm siger om sikkerhed

WeWorm er opsigtsvækkende, fordi den samlede tre alvorlige egenskaber: zero-click-udnyttelse, selvspredning via betroede kontakter og funktion på tværs af platforme. Selv om den rapporterede fejl er afværget, minder projektet om, at kommunikationsfunktioner – især opkald og andet indhold, der behandles automatisk – kan blive attraktive angrebsflader.

For brugere er det mest konkrete råd fortsat at holde WeChat og telefonens styresystem opdateret. For udviklere er den bredere lære at prioritere test for hukommelsessikkerhed, sikre behandlingsveje for opkald, hurtige kanaler til rapportering af sårbarheder samt ekstra beskyttelseslag omkring kontogendannelse og aktive sessioner. 1014