WeWorm osoitti, miten vastaamaton WeChat-puhelu saattoi kaapata tilin

WeWorm oli Palo Altossa toimivan tietoturvayhtiö Califin tekoälyn avustuksella rakentama tutkimusdemo. Se havainnollisti WeChatin äänipuhelutoiminnon vakavaa heikkoutta: erityisesti muotoiltu saapuva puhelu saattoi Califin mukaan kaapata vastaanottajan WeChat-tilin sekunneissa, vaikka puheluun ei vastattu eikä puhelinta kosketettu. Calif ilmoitti asiasta Tencentille ennen julkistusta, ja Tencent otti käyttöön lievennyksiä. 1014

Miten nollaklikkaushyökkäys toimi?

Haavoittuvuus oli WeChatin VoIP-pinossa eli sovelluksen internetpuheluja käsittelevässä ohjelmakoodissa. Kyse oli muistinkorruptio-ongelmasta. Califin mukaan hyökkäyskoodi voitiin suorittaa jo puhelimen soidessa, joten uhrin ei tarvinnut avata linkkiä, liitettä tai edes vastata puheluun. 103

Tällaista hyökkäystä kutsutaan nollaklikkaushyökkäykseksi: haavoittuva ohjelmisto käsittelee saapuvan sisällön ennen kuin käyttäjältä edellytetään käytännössä mitään toimintaa. Calif ei ole julkaissut haavoittuvuuden tai hyväksikäytön yksityiskohtaisia teknisiä tietoja, mikä vähentää sen kopioimisen riskiä. 10

Miksi kyse oli madosta?

Tietokonemato eroaa yksittäisestä tilikaappauksesta siinä, että se voi käyttää jokaista kaapattua tiliä seuraavien kohteiden tavoittamiseen. Califin demossa kaapattu WeChat-tili saattoi soittaa tallennetuille yhteystiedoilleen tai ystävälistansa henkilöille ja yrittää samaa hyökkäystä uudelleen. 110

Kontaktiverkostoon perustuvassa leviämisessä oli sekä vahvuuksia että rajoitteita:

• Puhelu tutulta vaikuttavasta tilistä voi herättää vähemmän epäilyksiä.
• Mato voisi edetä WeChatin kontaktiverkostossa ilman, että hyökkääjän tarvitsisi valita jokaista kohdetta käsin.
• Leviäminen edellytti kuitenkin olemassa olevaa kontakti- tai ystävyyssuhdetta; mitä tahansa WeChat-käyttäjää ei voinut tavoittaa tyhjästä. 1

Calif esitteli ketjun, joka kulki Android- ja iOS-laitteiden välillä. Se osoitti leviämisidean toimivan alustarajojen yli. Väitteet satoihin miljooniin tileihin yltävästä vaikutuksesta olivat arvioita mahdollisesta leviämisestä WeChatin suuressa verkostossa — eivät näyttöä siitä, että tällainen tartunta olisi todella tapahtunut. 1013

Mitä hyökkääjä olisi saanut haltuunsa?

Calif kuvasi seurauksen WeChat-tilin täydelliseksi hallinnaksi. Hyökkääjä olisi voinut lukea ja lähettää viestejä, soittaa puheluja, esiintyä tilinomistajana ja käyttää tiliä tämän kontaktien tavoittamiseen. 18

Tämä ei kuitenkaan merkitse automaattisesti koko iPhonen tai Android-laitteen käyttöjärjestelmän haltuunottoa. Demonstroitu vaikutus koski tiliä; Califin mukaan laitteen täydellinen kompromisointi olisi vaatinut erillisiä haavoittuvuuksia. 14

Mitä tekoäly teki — ja mitä siitä ei tiedetä?

Califin mukaan sen tiimi käytti tekoälyä haavoittuvuuden löytämiseen ja ensimmäisen etäkoodinsuoritukseen tähtäävän hyväksikäytön rakentamiseen noin kahdessa päivässä. Matodemon rakentamiseen kului tämän jälkeen noin viikko. 108

Keskeinen havainto ei ole, että tekoäly olisi itsenäisesti käynnistänyt hyökkäyksen. Demo havainnollistaa pikemminkin sitä, miten tekoäly voi pienentää haavoittuvuustutkimukseen, virheenkorjaukseen, hyväksikäytön iterointiin ja muokkaukseen tarvittavaa aikaa ja erityisosaamista. Samoja kykyjä voidaan käyttää myös puolustuksessa ohjelmistojen analysointiin ja korjausten nopeuttamiseen.

Calif kertoo julkisessa WeWorm-kuvauksessaan työskennelleensä tekoälyn avulla, mutta ei nimeä luotettavasti tiettyä mallia tai ohjelmointityökalua. Siksi väitteille siitä, että WeWorm olisi käyttänyt nimenomaan Claudea, GPT:tä, Codexia tai jotakin muuta nimettyä työkalua, ei ole julkisen kuvauksen perusteella tukea. 10

Ilmoitus, korjaukset ja todellinen riski

Califin mukaan se ilmoitti haavoittuvuudesta yksityisesti Tencentille heinäkuussa. Tencent julkaisi Califin mukaan 21. elokuuta WeChatin Android-version 8.0.77 ja iOS-version 8.0.76. Calif kertoi myöhemmin palvelinpuolen lievennyksen estävän hyväksikäytön kaikilta käyttäjiltä. Tencent vahvisti, että haavoittuvuus saattoi mahdollistaa etäkomentojen suorittamisen. 1014

Tutkimusdemon ja aktiivisen hyökkäyskampanjan erottaminen toisistaan on olennaista. Julkisten tietojen mukaan WeWorm oli proof of concept -demo, eikä ole julkista näyttöä siitä, että Calif olisi käyttänyt sitä oikeita käyttäjiä vastaan tai että se olisi aiheuttanut todellisen massatartunnan. 9

Mitä WeWorm opettaa?

WeWorm oli poikkeuksellinen yhdistelmä kolmea ominaisuutta: nollaklikkaushyökkäys, itsenäinen leviäminen luotettujen kontaktien kautta ja alustarajat ylittävä toiminta. Vaikka ilmoitettu haavoittuvuus on lievennetty, tapaus muistuttaa siitä, että viestintäsovellusten automaattisesti käsittelemät toiminnot — kuten puhelujen käsittely — ovat houkuttelevia hyökkäyspintoja.

Käyttäjän käytännön suoja on pitää WeChat ja puhelimen käyttöjärjestelmä ajan tasalla. Ohjelmistotiimeille laajempi opetus on panostaa muistiturvallisuuden testaukseen, puhelunkäsittelypolkujen suojaamiseen, nopeisiin haavoittuvuusilmoituskanaviin sekä tilin palautuksen ja istuntojen hallinnan kerrokselliseen suojaan. 1014