WeWorm: Cara Worm Zero-Click Berbantuan AI Membajak Akun WeChat Lewat Panggilan Masuk

WeWorm adalah worm komputer proof of concept berbantuan AI yang dibuat perusahaan keamanan siber Calif untuk menunjukkan kelemahan serius pada fitur panggilan suara WeChat. Menurut Calif, panggilan masuk yang dirancang khusus dapat mengambil alih akun WeChat penerima dalam hitungan detik, bahkan ketika penerima tidak menjawab atau berinteraksi dengan ponselnya. Celah tersebut telah dilaporkan secara privat kepada Tencent sebelum dipublikasikan, dan Tencent kemudian menerapkan mitigasi. 1014

Bagaimana serangan panggilan zero-click bekerja

Celah yang dieksploitasi berada pada stack Voice-over-IP (VoIP) WeChat, yaitu komponen perangkat lunak yang menangani panggilan suara. Calif menyebutnya sebagai kerentanan memory corruption atau kerusakan memori. Eksploit dapat berjalan ketika panggilan masih berdering, sehingga korban tidak perlu mengeklik tautan, membuka lampiran, maupun mengangkat telepon. 103

Itulah yang dimaksud serangan zero-click: perangkat lunak yang rentan memproses panggilan sebelum diperlukan tindakan berarti dari pengguna. Calif tidak membeberkan detail teknis tingkat rendah mengenai celah dan eksploitnya, sebuah langkah yang membantu mencegah peniruan serangan. 10

Mengapa WeWorm dapat menyebar seperti worm

Tidak seperti pembajakan akun satu kali, worm dapat memakai setiap akun yang sudah dikompromikan untuk menjangkau sasaran berikutnya. Dalam demonstrasi Calif, akun WeChat yang telah dibajak dapat menelepon orang-orang dalam daftar kontak tersimpan atau daftar teman, lalu mencoba serangan yang sama lagi. 110

Mekanisme berbasis kontak ini kuat, tetapi juga memiliki batas:

• Panggilan dari akun milik teman atau kontak yang dikenal berpotensi tampak lebih tepercaya.
• Worm dapat bergerak melalui jaringan kontak WeChat tanpa pelaku perlu memilih setiap target secara manual.
• Penyebarannya bergantung pada adanya relasi kontak atau pertemanan; worm tidak otomatis bisa menghubungi sembarang pengguna WeChat dari nol. 1

Calif mendemonstrasikan rantai serangan yang melibatkan perangkat Android dan iPhone, yang menunjukkan konsep penyebaran lintas platform. Klaim bahwa serangan dapat menjangkau ratusan juta akun merupakan proyeksi atas potensi penyebaran dalam jaringan WeChat yang besar, bukan bukti bahwa kejadian sebesar itu benar-benar terjadi. 1013

Akses apa yang dapat diperoleh penyerang?

Calif menggambarkan dampaknya sebagai kendali penuh atas akun WeChat. Dalam praktiknya, akses itu berpotensi memungkinkan penyerang membaca dan mengirim pesan, melakukan panggilan, menyamar sebagai pemilik akun, serta memakai akun tersebut untuk menyasar kontak lainnya. 18

Namun, ini tidak sama dengan pengambilalihan penuh sistem operasi iPhone atau Android. Dampak yang didemonstrasikan berada pada tingkat akun; Calif menyatakan bahwa kerentanan lain masih diperlukan untuk meningkatkan akses tersebut menjadi kompromi perangkat secara menyeluruh. 14

Peran AI—dan hal yang belum diketahui

Menurut Calif, timnya menggunakan AI untuk menemukan celah serta menulis eksploit awal remote code execution (RCE) dalam sekitar dua hari. Pembuatan demonstrasi worm kemudian memerlukan kira-kira satu minggu tambahan. 108

Inti pelajarannya bukan bahwa AI melancarkan serangan secara mandiri. Demonstrasi ini menunjukkan bahwa AI dapat memangkas waktu dan keahlian khusus yang dibutuhkan dalam riset kerentanan, proses debugging, pengulangan eksploit, dan penyesuaian teknik. Di sisi lain, kemampuan serupa juga dapat membantu pihak bertahan menganalisis perangkat lunak dan mempercepat perbaikan.

Pengungkapan publik Calif menyatakan timnya bekerja dengan AI, tetapi tidak mengidentifikasi secara andal model atau produk pemrograman tertentu. Karena itu, klaim bahwa WeWorm secara spesifik memakai Claude, GPT, Codex, atau alat bernama lain tidak didukung oleh informasi publik yang tersedia. 10

Pelaporan celah, pembaruan, dan risiko di dunia nyata

Calif menyatakan telah melaporkan kerentanan itu secara privat kepada Tencent pada Juli. Menurut Calif, Tencent merilis WeChat Android 8.0.77 dan iOS 8.0.76 pada 21 Agustus, lalu mitigasi di sisi server memblokir eksploit tersebut bagi seluruh pengguna. Tencent mengonfirmasi bahwa kerentanan itu dapat memungkinkan eksekusi perintah jarak jauh. 1014

Penting membedakan demonstrasi dengan serangan aktif. Laporan publik menggambarkan WeWorm sebagai proof of concept, dan tidak ada bukti publik bahwa Calif menjalankannya terhadap pengguna nyata atau bahwa worm ini menyebabkan infeksi massal di lapangan. 9

Pelajaran keamanan dari WeWorm

WeWorm menonjol karena memadukan tiga karakteristik berisiko tinggi: eksploitasi zero-click, penyebaran mandiri melalui kontak tepercaya, dan jangkauan lintas platform. Meski celah yang dilaporkan telah dimitigasi, demonstrasi ini mengingatkan bahwa fitur komunikasi—terutama pemrosesan panggilan dan konten lain yang diproses otomatis—dapat menjadi permukaan serangan bernilai tinggi.

Bagi pengguna, langkah praktisnya adalah selalu memperbarui WeChat dan sistem operasi ponsel. Bagi pengembang, pelajarannya adalah memprioritaskan pengujian keamanan memori, pengamanan jalur pemrosesan panggilan, kanal pelaporan kerentanan yang cepat, serta pertahanan berlapis untuk pemulihan akun dan pengelolaan sesi. 1014