WeWorm: el gusano de WeChat que podía tomar una cuenta sin contestar la llamada

WeWorm fue una prueba de concepto desarrollada por la firma de ciberseguridad Calif para mostrar una vulnerabilidad grave en el código de llamadas de voz de WeChat. Según la compañía, una llamada entrante especialmente manipulada podía comprometer la cuenta de WeChat del destinatario en segundos, aunque no respondiera ni interactuara con el móvil. Calif comunicó el problema a Tencent antes de hacerlo público, y Tencent desplegó mitigaciones. 1014

Una llamada sin responder podía bastar

El fallo estaba en la pila de VoIP (Voice over IP, la tecnología que gestiona las llamadas por internet) de WeChat. Calif lo describió como una vulnerabilidad de corrupción de memoria. El código vulnerable podía procesar la llamada mientras el teléfono aún estaba sonando; por eso no hacía falta pulsar un enlace, abrir un archivo ni descolgar. 103

Este tipo de técnica se conoce como ataque zero-click o de «cero clics»: la víctima no necesita realizar una acción relevante para que el software vulnerable procese el contenido malicioso. Calif no ha divulgado los detalles técnicos de bajo nivel ni el método de explotación, una decisión que limita su posible reproducción. 10

Por qué podía propagarse como un gusano

La diferencia entre un robo aislado de cuenta y un gusano es que el segundo puede utilizar cada nuevo acceso comprometido para alcanzar a otras víctimas. En la demostración de Calif, una cuenta de WeChat tomada podía llamar a las personas de sus contactos guardados o lista de amigos e intentar repetir el ataque. 110

Ese mecanismo tenía una ventaja y un límite:

• Una llamada procedente de una cuenta conocida puede parecer más legítima.
• El ataque podía desplazarse por la red de contactos de WeChat sin que el atacante eligiera manualmente a cada objetivo.
• La propagación dependía de que existiera una relación previa de contacto o amistad; no permitía atacar desde cero a cualquier usuario arbitrario de WeChat. 1

Calif mostró una cadena que conectaba dispositivos Android e iOS, lo que probaba el concepto de propagación entre plataformas. Las afirmaciones sobre la posibilidad de llegar a cientos de millones de cuentas eran estimaciones del alcance potencial dentro de la enorme red de WeChat, no pruebas de que esa infección masiva ocurriera realmente. 1013

Qué podía hacer quien obtuviera el control

Calif describió el resultado como control total de la cuenta de WeChat. En la práctica, eso podría permitir leer y enviar mensajes, realizar llamadas, suplantar a la persona titular de la cuenta y usarla para dirigirse a más contactos. 18

No equivale, sin embargo, a controlar por completo un iPhone o un teléfono Android. El impacto demostrado se limitaba a la cuenta de WeChat; Calif indicó que harían falta vulnerabilidades adicionales para convertirlo en una toma total del dispositivo. 14

El papel de la IA: acelerar el trabajo, no actuar sola

De acuerdo con Calif, el equipo usó IA para localizar el fallo y desarrollar un primer exploit de ejecución remota de código en alrededor de dos días. La construcción de la demostración del gusano llevó aproximadamente otra semana. 108

La conclusión relevante no es que una IA lanzara de forma autónoma un ataque global. La demostración ilustra que estas herramientas pueden reducir el tiempo y la especialización necesarios para buscar fallos, depurar código, probar variantes de un exploit y adaptarlo. Esa misma capacidad también puede servir a los equipos defensivos para analizar software y acelerar las correcciones.

La información pública de Calif dice que el equipo trabajó con IA, pero no identifica de forma fiable un modelo concreto ni un producto de programación. Por tanto, no está respaldado afirmar que WeWorm utilizara específicamente Claude, GPT, Codex u otra herramienta determinada. 10

Divulgación, actualizaciones y riesgo real

Calif afirmó haber informado de forma privada a Tencent en julio. Según la empresa, Tencent publicó WeChat Android 8.0.77 e iOS 8.0.76 el 21 de agosto, y más tarde una mitigación del lado del servidor bloqueó el exploit para todos los usuarios. Tencent confirmó que la vulnerabilidad podía permitir la ejecución remota de comandos. 1014

También conviene separar la demostración de una campaña real: la información disponible presenta WeWorm como una prueba de concepto. No hay evidencia pública de que Calif lo desplegara contra usuarios reales ni de que causara una infección masiva fuera de un entorno de demostración. 9

La lección de seguridad que deja WeWorm

WeWorm llamó la atención por reunir tres características de alto impacto: explotación sin interacción de la víctima, propagación a través de contactos de confianza y funcionamiento entre iOS y Android. Aunque el fallo reportado ya fue mitigado, el caso recuerda que las funciones de comunicación —en especial la gestión de llamadas y otros contenidos procesados automáticamente— son superficies de ataque especialmente valiosas.

Para las personas usuarias, la medida práctica sigue siendo mantener WeChat y el sistema operativo del móvil actualizados. Para los equipos que desarrollan software, la lección más amplia es reforzar las pruebas de seguridad de memoria, proteger las rutas de procesamiento de llamadas, contar con canales ágiles para recibir reportes de vulnerabilidades y aplicar defensas adicionales en recuperación de cuentas y controles de sesión. 1014