WeWorm: как один звонок в WeChat мог захватить аккаунт без ответа

WeWorm — это демонстрационный компьютерный червь, созданный компанией по кибербезопасности Calif. Он использовал уязвимость в обработке голосовых вызовов WeChat: по заявлению исследователей, достаточно было входящего звонка, чтобы за несколько секунд получить контроль над аккаунтом получателя — без ответа на звонок, нажатия ссылки или другого действия со стороны пользователя. До публичного раскрытия Calif сообщила об ошибке Tencent, разработчику WeChat; затем были выпущены меры защиты. 1014

Почему атака называлась zero-click

Проблема находилась в VoIP-стеке WeChat — части приложения, отвечающей за интернет-звонки. Исследователи описали её как ошибку повреждения памяти. Вредоносная обработка могла сработать, пока телефон ещё показывал входящий вызов, то есть до того, как человек успевал ответить или отклонить его. 103

Именно поэтому это zero-click-атака: жертве не требовалось выполнять осмысленное действие. Технические детали уязвимости и эксплойта Calif пока не публикует, чтобы не облегчать воспроизведение атаки. 10

Как аккаунт мог стать источником следующей атаки

От обычного захвата аккаунта WeWorm отличала способность распространяться дальше. После компрометации аккаунта червь, согласно демонстрации Calif, мог звонить людям из сохранённых контактов или списка друзей и повторять ту же попытку. 110

Такой механизм одновременно опасен и ограничен:

• звонок с аккаунта знакомого выглядит менее подозрительно;
• атака могла переходить по сети контактов без ручного выбора каждой следующей цели;
• для следующего шага требовалась связь в контактах или друзьях WeChat — нельзя было просто начать с любого произвольного пользователя. 1

Calif показала цепочку, которая затрагивала Android и iOS. Формулировки о потенциальных сотнях миллионов скомпрометированных аккаунтов следует понимать именно как оценку возможного масштаба в большой сети WeChat, а не как сведения о реально произошедшей эпидемии. 1013

Что получал бы злоумышленник

Calif сообщала о полном контроле над аккаунтом WeChat. Это могло позволить читать и отправлять сообщения, совершать звонки, выдавать себя за владельца и использовать его контакты для дальнейшего распространения. 18

Однако это не означает автоматического полного контроля над iPhone или Android-устройством. Продемонстрированный эффект относился к аккаунту; для взлома операционной системы потребовались бы отдельные уязвимости. 14

Какую роль сыграл ИИ

По данным Calif, команда с помощью ИИ нашла ошибку и подготовила первый эксплойт удалённого выполнения кода примерно за два дня. На создание демонстрационного червя ушло ещё около недели. 108

Смысл этого примера не в том, что ИИ самостоятельно развернул атаку. Он показывает, как модели могут сократить время на поиск уязвимостей, отладку, написание и доработку эксплойта. Те же методы потенциально полезны и защитникам — для анализа кода и ускорения исправлений.

При этом в публичных материалах Calif не названа конкретная модель или инструмент программирования. Поэтому утверждения, что WeWorm был создан именно с Claude, GPT, Codex либо другим определённым продуктом, не подтверждены раскрытой информацией. 10

Исправление и фактический риск

Calif заявила, что уведомила Tencent об уязвимости в июле. По данным исследователей, 21 августа Tencent выпустила WeChat 8.0.77 для Android и 8.0.76 для iOS, а позднее серверная мера защиты заблокировала эксплойт для всех пользователей. Tencent подтвердила, что уязвимость могла позволить удалённое выполнение команд. 1014

Важно отличать лабораторную демонстрацию от инцидента в реальном мире. WeWorm описывается как proof of concept — доказательство реализуемости идеи. Публичных свидетельств того, что Calif применяла его против реальных пользователей или что произошла массовая инфекция, нет. 9

Главный вывод

WeWorm объединил три опасных свойства: атаку без клика, самораспространение через доверенные контакты и работу на двух мобильных платформах. Даже после устранения этой конкретной ошибки история напоминает: особенно внимательно нужно защищать функции, которые приложение обрабатывает автоматически, — прежде всего звонки и другой входящий контент.

Пользователям стоит своевременно обновлять WeChat и операционную систему смартфона. Разработчикам — уделять приоритетное внимание безопасной обработке звонков, тестам на ошибки памяти, оперативному приёму сообщений об уязвимостях и дополнительной защите сессий и восстановления аккаунтов. 1014