WeWorm: Slik kunne en ubesvart WeChat-samtale kapre en konto

WeWorm var en KI-assistert demonstrasjon av en dataorm utviklet av sikkerhetsselskapet Calif. Den utnyttet en minnekorrupsjonsfeil i WeChats VoIP-stakk – programvarelaget som håndterer taleanrop – slik at en innkommende samtale kunne kompromittere en WeChat-konto i løpet av sekunder. Mottakeren behøvde verken å svare, åpne en lenke eller samhandle med telefonen. Calif opplyser at sårbarheten ble meldt privat til Tencent før offentliggjøringen, og at mottiltak senere ble satt i verk. 1014

Slik fungerte «zero-click»-angrepet

Dette var et såkalt zero-click-angrep: Programvaren behandlet det innkommende anropet allerede mens telefonen ringte, før brukeren trengte å gjøre noe. Feilen satt i WeChats VoIP-funksjon, og Calif sier at den kunne brukes til å kjøre kode eksternt. 103

De tekniske detaljene om sårbarheten og utnyttelsen er ikke publisert. Det begrenser muligheten for at andre skal kunne gjenskape angrepet. 10

Hvorfor WeWorm kunne spre seg

En orm skiller seg fra en enkelt konto-overtakelse ved at den kan bruke hvert nye offer til å nå flere. I Califs demonstrasjon kunne en kompromittert WeChat-konto ringe personer i kontoens lagrede kontakt- eller venneliste og forsøke samme angrep på nytt. 110

Det ga en mulig kjedeeffekt, men også en viktig begrensning:

• Angrepet kunne misbruke tilliten til en kjent kontakt: En samtale fra en venns konto virker ofte mindre mistenkelig.
• Ormen kunne bevege seg videre i WeChats kontaktnettverk uten at en angriper måtte velge hvert enkelt mål manuelt.
• Den var avhengig av at det fantes en kontakt- eller vennskapsforbindelse; den kunne ikke uten videre nå alle WeChat-brukere tilfeldig. 1

Calif viste en kjede på tvers av Android og iOS. Påstander om at angrepet kunne nå hundrevis av millioner kontoer, var beregninger av mulig spredning i WeChats store nettverk – ikke dokumentasjon på at en slik masseinfeksjon faktisk skjedde. 1013

Tilgang til WeChat-kontoen – ikke nødvendigvis hele mobilen

Calif beskrev virkningen som full kontroll over den berørte WeChat-kontoen. Det kunne gi en angriper mulighet til å lese og sende meldinger, foreta samtaler, utgi seg for å være kontoens eier og bruke kontoen til å angripe flere kontakter. 18

Det er noe annet enn å overta hele operativsystemet på en iPhone eller Android-telefon. Demonstrasjonen gjaldt kontonivå; Calif har opplyst at separate sårbarheter ville vært nødvendig for å få full kontroll over enheten. 14

Hva KI bidro med

Ifølge Calif brukte teamet KI til å finne feilen og lage en første utnyttelse for ekstern kjøring av kode på om lag to dager. Selve ormdemonstrasjonen ble bygget i løpet av omtrent en uke til. 108

Poenget er ikke at KI på egen hånd satte i gang et globalt angrep. Demonstrasjonen viser snarere hvordan KI kan redusere tiden og spesialistkompetansen som trengs for å lete etter sårbarheter, feilsøke, forbedre utnyttelser og tilpasse angrep. De samme egenskapene kan også brukes defensivt, blant annet til programvareanalyse og raskere retting.

Califs offentlige omtale sier at teamet arbeidet med KI, men identifiserer ikke pålitelig en bestemt modell eller et bestemt kodeverktøy. Det finnes derfor ikke dekning i den offentlige dokumentasjonen for å si at WeWorm spesifikt brukte Claude, GPT, Codex eller et annet navngitt verktøy. 10

Rapportering, oppdateringer og faktisk risiko

Calif opplyser at selskapet rapporterte sårbarheten privat til Tencent i juli. Ifølge Calif publiserte Tencent WeChat Android 8.0.77 og iOS 8.0.76 21. august, og en senere serverbasert mitigering skal ha blokkert utnyttelsen for alle brukere. Tencent bekreftet at sårbarheten kunne muliggjøre fjernkjøring av kommandoer. 1014

Skillet mellom en demonstrasjon og et aktivt angrep er vesentlig. Offentlig rapportering beskriver WeWorm som en proof of concept, og det finnes ingen offentlig dokumentasjon på at Calif brukte den mot reelle brukere eller at den førte til en masseinfeksjon i praksis. 9

Hva WeWorm lærer oss

WeWorm var oppsiktsvekkende fordi den kombinerte tre alvorlige egenskaper: angrep uten brukerhandling, selvspredning via kjente kontakter og funksjon på tvers av iOS og Android. Selv om den rapporterte feilen nå er mitigert, viser saken hvorfor kommunikasjonsfunksjoner som automatisk behandler innhold – særlig samtalehåndtering – er attraktive angrepsflater.

For brukere er det viktigste tiltaket fortsatt å holde WeChat og mobiloperativsystemet oppdatert. For utviklere er lærdommen å prioritere testing for minnesikkerhet, robust behandling av samtaler, raske kanaler for sårbarhetsrapportering og flere lag med vern rundt øktstyring og kontogjenoppretting. 1014