WeWorm : le ver zéro clic qui pouvait détourner un compte WeChat par un simple appel

WeWorm est une démonstration de ver informatique conçue par la société de cybersécurité Calif. Son principe était particulièrement préoccupant : un appel vocal WeChat entrant pouvait, selon les chercheurs, compromettre le compte du destinataire en quelques secondes, sans réponse à l’appel ni autre action de sa part. Calif indique avoir signalé la faille à Tencent avant sa publication ; des mesures correctives ont depuis été déployées. 1014

Un appel « zéro clic »

La faiblesse se situait dans la pile VoIP (Voice over IP), c’est-à-dire le composant de WeChat chargé de gérer les appels. Il s’agissait d’une vulnérabilité de corruption mémoire. L’exploitation pouvait se déclencher pendant que le téléphone sonnait : il n’était donc pas nécessaire d’ouvrir un lien, de télécharger une pièce jointe ou de répondre à l’appel. 103

C’est la définition d’une attaque zéro clic : le logiciel vulnérable traite des données avant toute interaction utile de l’utilisateur. Calif n’a pas publié les détails techniques de la faille ni de l’exploit, afin d’en limiter la reproduction. 10

Pourquoi parle-t-on d’un ver ?

Un ver ne se limite pas à compromettre une cible : il peut s’appuyer sur chaque compte compromis pour atteindre de nouvelles victimes. Dans la démonstration de Calif, le compte WeChat détourné pouvait appeler les personnes présentes dans ses contacts ou sa liste d’amis et tenter à nouveau la même attaque. 110

Cette propagation avait toutefois des limites :

• l’attaque reposait sur une relation de contact ou d’ami déjà existante ;
• un compte connu pouvait rendre l’appel moins suspect aux yeux de ses contacts ;
• elle ne permettait pas, à elle seule, de joindre n’importe quel utilisateur WeChat sans lien préalable. 1

Calif a montré une chaîne de compromission entre Android et iOS, ce qui illustrait une propagation multiplateforme. Les affirmations sur des centaines de millions de comptes potentiellement atteignables relèvent d’une projection fondée sur l’ampleur du réseau WeChat, et non de la preuve d’une infection massive réelle. 1013

Ce qu’un pirate aurait pu faire

Calif a décrit l’impact comme un contrôle complet du compte WeChat. Un attaquant aurait alors pu lire et envoyer des messages, passer des appels, usurper l’identité du titulaire et contacter d’autres personnes depuis ce compte. 18

Cela ne signifiait pas automatiquement le contrôle complet du système iOS ou Android. La démonstration portait sur le compte WeChat ; Calif a précisé que d’autres vulnérabilités auraient été nécessaires pour compromettre entièrement l’appareil. 14

Le rôle de l’IA : accélérer, pas agir seule

Selon Calif, l’équipe a utilisé l’IA pour identifier la faille et produire un premier exploit d’exécution de code à distance en environ deux jours, puis pour réaliser la démonstration du ver en approximativement une semaine supplémentaire. 108

L’enseignement principal n’est donc pas qu’une IA aurait lancé de manière autonome une campagne d’attaque. Le cas WeWorm montre plutôt qu’elle peut réduire le temps, les compétences spécialisées et les efforts nécessaires pour rechercher des failles, déboguer, faire évoluer un exploit et l’adapter. Ces mêmes capacités peuvent aussi aider les défenseurs à analyser les logiciels et accélérer les correctifs.

Les éléments publics de Calif indiquent seulement que l’équipe a travaillé « avec l’IA ». Ils ne permettent pas d’attribuer de façon fiable WeWorm à un modèle ou un outil précis, tel que Claude, GPT ou Codex. 10

Signalement, correctifs et risque réel

Calif affirme avoir signalé la vulnérabilité à Tencent en juillet. Tencent a publié WeChat Android 8.0.77 et iOS 8.0.76 le 21 août, selon Calif ; l’entreprise de sécurité a ensuite indiqué qu’une mesure côté serveur bloquait l’exploit pour tous les utilisateurs. Tencent a confirmé que la faille pouvait permettre l’exécution de commandes à distance. 1014

La distinction entre démonstration et attaque active est essentielle : WeWorm a été présenté comme une preuve de concept. Aucune preuve publique ne montre que Calif l’aurait déployé contre des utilisateurs réels, ni qu’il aurait provoqué une infection massive dans la nature. 9

Ce qu’il faut retenir

WeWorm cumulait trois caractéristiques à fort impact : une exploitation sans clic, une propagation par les contacts de confiance et une portée sur iOS et Android. Même si la faille signalée a été atténuée, le projet rappelle que les fonctions traitant automatiquement des contenus — notamment les appels — sont des surfaces d’attaque sensibles.

Pour les utilisateurs, la mesure la plus concrète reste de maintenir WeChat et le système du téléphone à jour. Pour les éditeurs de logiciels, l’enjeu est de renforcer les tests de sûreté mémoire, de sécuriser les traitements d’appels, de faciliter le signalement responsable des vulnérabilités et de multiplier les protections autour des comptes et des sessions. 1014