WeWorm uitgelegd: een gemiste WeChat-oproep kon genoeg zijn

WeWorm was een onderzoeksdemo van beveiligingsbedrijf Calif. De worm maakte misbruik van een fout in de belcode van WeChat en kon volgens Calif een account binnen enkele seconden overnemen via een inkomende oproep. De ontvanger hoefde daarbij niet op te nemen, nergens op te tikken en zelfs geen bijlage of link te openen. Tencent is vooraf geïnformeerd en heeft maatregelen uitgerold. 1014

Wat maakte deze aanval een zero-clickaanval?

De fout zat in de VoIP-stack van WeChat: het onderdeel van de app dat internetgesprekken verwerkt. Calif beschrijft het als een geheugenbeschadigingskwetsbaarheid. Omdat WeChat een inkomende oproep al verwerkt terwijl de telefoon overgaat, kon de exploit volgens de onderzoekers al draaien vóórdat de gebruiker iets deed. 103

Dat heet een zero-clickaanval: kwetsbare software wordt aangevallen zonder de gebruikelijke stap waarbij iemand bijvoorbeeld op een link klikt, een bestand opent of een gesprek aanneemt. Calif heeft technische details van de kwetsbaarheid niet openbaar gemaakt, zodat anderen de aanval niet eenvoudig kunnen namaken. 10

Waarom WeWorm zich als een worm kon verspreiden

Een gewone accountovername raakt in principe één doelwit. Een worm kan zich vervolgens zelf verder verspreiden. Bij WeWorm kon een overgenomen WeChat-account volgens Calif de opgeslagen contacten of vrienden bellen en daar dezelfde aanval proberen uit te voeren. 110

Dat mechanisme had twee kanten:

• een oproep van een bekend account kan betrouwbaarder ogen dan een onbekende oproep;
• de aanval kon zich door het netwerk van contactrelaties bewegen, zonder dat een aanvaller elk volgend doelwit handmatig hoefde te kiezen;
• tegelijk was verspreiding beperkt tot accounts waarvoor een contact- of vriendenrelatie beschikbaar was. De worm kon dus niet zomaar iedere willekeurige WeChat-gebruiker rechtstreeks bereiken. 1

Calif demonstreerde verspreiding tussen Android en iOS. Uitspraken dat de worm honderden miljoenen accounts zou kunnen bereiken, zijn schattingen van de mogelijke schaal binnen het grote WeChat-netwerk — geen bewijs dat zo'n besmettingsgolf daadwerkelijk heeft plaatsgevonden. 1013

Welke toegang kon een aanvaller krijgen?

Calif sprak van volledige controle over het WeChat-account. Dat zou een aanvaller in staat stellen berichten te lezen en te versturen, oproepen te plaatsen, zich voor te doen als de accounthouder en contacten van dat account te benaderen. 18

Dat is iets anders dan volledige overname van een iPhone of Android-telefoon. De getoonde impact betrof het accountniveau. Voor volledige controle over het besturingssysteem zouden volgens Calif aanvullende kwetsbaarheden nodig zijn. 14

Wat deed AI precies?

Volgens Calif hielp AI het team de fout te vinden en in ongeveer twee dagen een eerste exploit voor remote code execution (RCE) te schrijven. Voor de wormdemo was vervolgens ongeveer nog een week nodig. 108

De les is niet dat AI zelfstandig een aanvalscampagne uitvoerde. De demo laat vooral zien dat AI het werk voor beveiligingsonderzoekers — en dus mogelijk ook voor kwaadwillenden — kan versnellen: kwetsbaarheden zoeken, code analyseren, fouten opsporen en exploitvarianten testen.

Calif zegt publiekelijk alleen dat het team met AI werkte. De beschikbare toelichting noemt niet betrouwbaar welk specifiek model of welke programmeertool is gebruikt. Beweringen dat WeWorm concreet met Claude, GPT, Codex of een ander genoemd product is gebouwd, zijn daarom niet onderbouwd door de openbare bekendmaking. 10

Gemeld, gepatcht en geen bewijs van massaal misbruik

Calif zegt de kwetsbaarheid in juli privé aan Tencent te hebben gemeld. Volgens Calif bracht Tencent op 21 augustus WeChat Android-versie 8.0.77 en iOS-versie 8.0.76 uit, waarna een server-side maatregel de exploit voor alle gebruikers blokkeerde. Tencent bevestigde dat de fout uitvoering van externe opdrachten mogelijk kon maken. 1014

Belangrijk is het onderscheid tussen een demonstratie en een echte aanval. WeWorm werd publiekelijk beschreven als een proof of concept. Er is geen openbaar bewijs dat Calif de worm op echte gebruikers heeft losgelaten of dat er een massale besmetting in het wild is geweest. 9

Wat gebruikers en ontwikkelaars hiervan kunnen leren

WeWorm viel op door drie eigenschappen in één demo te combineren: een aanval zonder gebruikersactie, zelfverspreiding via vertrouwde contacten en werking op zowel iOS als Android. Ook al is de gemelde fout verholpen, de zaak onderstreept dat functies die automatisch inhoud verwerken — zoals bellen — een belangrijk aanvalsoppervlak kunnen zijn.

Voor gebruikers blijft het praktische advies eenvoudig: installeer updates voor WeChat en het mobiele besturingssysteem zo snel mogelijk. Voor ontwikkelteams is de bredere les om geheugenveiligheid, veilige verwerking van oproepen, snelle meldkanalen voor kwetsbaarheden en extra bescherming rond accountsessies en accountherstel hoog te prioriteren. 1014