WeWorm: Yanıtlanmayan WeChat Aramasıyla Hesap Ele Geçiren Sıfır Tıklama Solucanı

WeWorm, Palo Alto merkezli güvenlik şirketi Calif’in WeChat sesli arama kodundaki ciddi bir açığı göstermek için hazırladığı, yapay zekâ destekli bir kavram kanıtı bilgisayar solucanıydı. Calif’e göre özel olarak hazırlanmış gelen bir arama, kişi aramayı açmasa ya da telefonuyla hiçbir etkileşim kurmasa bile birkaç saniye içinde alıcının WeChat hesabını ele geçirebiliyordu. Şirket, kamuya açıklamadan önce sorunu Tencent’e bildirdiğini; Tencent’in de önlemler uyguladığını açıkladı. 1014

“Sıfır tıklama” arama saldırısı nasıl çalışıyordu?

Sorunun kaynağı, WeChat’in sesli aramaları yöneten VoIP (internet üzerinden ses iletimi) bileşenindeki bir bellek bozulması açığıydı. Calif’in açıklamasına göre istismar, arama çalarken çalışabiliyordu. Bu nedenle hedefin bir bağlantıya tıklaması, ek açması veya aramayı yanıtlaması gerekmiyordu. 103

Bu tür saldırılara sıfır tıklama denir: Savunmasız yazılım, kullanıcıdan anlamlı bir işlem beklemeden gelen içeriği işler. Calif, saldırının yeniden üretilmesini zorlaştırmak için açığın ve istismarın düşük seviye teknik ayrıntılarını paylaşmadı. 10

Neden solucan gibi yayılabiliyordu?

Solucanı tekil bir hesap ele geçirmeden ayıran unsur, her ele geçirilmiş hesabın yeni hedeflere ulaşmak için kullanılabilmesidir. Calif’in gösteriminde ele geçirilen WeChat hesabı, kayıtlı kişiler veya arkadaş listesindeki kullanıcılara arama yaparak aynı saldırıyı yeniden deneyebiliyordu. 110

Bu temas tabanlı yayılımın hem güçlü hem de sınırlı tarafları vardı:

• Tanıdık bir hesaptan gelen arama daha az şüpheli görünebileceği için güven ilişkilerinden yararlanabilirdi.
• Saldırganın her hedefi tek tek seçmesine gerek kalmadan WeChat’in kişi ağı üzerinden ilerleyebilirdi.
• Ancak rastgele herhangi bir WeChat kullanıcısına doğrudan ulaşmaktan ziyade, hedefle mevcut bir kişi/arkadaşlık ilişkisine bağlıydı. 1

Calif, Android ve iOS cihazları kapsayan bir zincir gösterdi; bu da yayılma fikrinin platformlar arası çalışabildiğini ortaya koydu. Yüz milyonlarca hesaba ulaşabileceği yönündeki ifadeler, WeChat’in büyük kullanıcı ağı üzerinden yapılmış potansiyel yayılım tahminleriydi; böyle bir olayın gerçekten yaşandığının kanıtı değildi. 1013

Saldırgan hangi erişimi elde edebilirdi?

Calif, sonucun WeChat hesabı üzerinde tam denetim olduğunu belirtti. Bu, saldırganın mesajları okuyup göndermesine, arama yapmasına, hesap sahibini taklit etmesine ve hesabı başka kişileri hedeflemek için kullanmasına imkân verebilirdi. 18

Bu durum, iPhone veya Android işletim sisteminin bütünüyle ele geçirilmesiyle aynı şey değil. Gösterimdeki etki hesap düzeyindeydi; Calif, bunun tam cihaz ele geçirmesine dönüşmesi için ayrı güvenlik açıklarının zincirlenmesi gerekeceğini ifade etti. 14

Yapay zekânın rolü neydi?

Calif’e göre ekip, açığı bulmak ve ilk uzaktan kod çalıştırma (RCE) istismarını yazmak için yapay zekâdan yararlandı; bu aşama yaklaşık iki gün sürdü. Solucan gösteriminin hazırlanması ise yaklaşık bir hafta daha aldı. 108

Buradaki kritik nokta, yapay zekânın kendi başına saldırı başlatmış olması değil. Gösterim; açık araştırması, hata ayıklama, istismar denemeleri ve uyarlama için gereken süreyi ve uzmanlık eşiğini yapay zekânın azaltabileceğini gösteriyor. Aynı yetenekler, savunma tarafında yazılım incelemeyi ve düzeltme sürecini hızlandırmak için de kullanılabilir.

Calif’in kamuya açık WeWorm açıklaması, ekibin yapay zekâyla çalıştığını söylüyor; ancak belirli bir model veya kodlama ürünü adı vermiyor. Bu nedenle WeWorm’un özellikle Claude, GPT, Codex ya da başka bir adlandırılmış araçla geliştirildiği iddiaları, mevcut kamuya açık açıklamayla desteklenmiyor. 10

Bildirim, yamalar ve gerçek dünyadaki risk

Calif, açığı temmuz ayında Tencent’e özel olarak bildirdiğini açıkladı. Calif’e göre Tencent, 21 Ağustos’ta WeChat Android 8.0.77 ve iOS 8.0.76 sürümlerini yayımladı. Şirket daha sonra, sunucu tarafındaki bir önlemin istismarı tüm kullanıcılar için engellediğini bildirdi. Tencent de güvenlik açığının uzaktan komut çalıştırmaya imkân verebileceğini doğruladı. 1014

Bir gösterim ile aktif saldırı kampanyasını birbirinden ayırmak önemli: Kamuya açık haberlerde WeWorm bir kavram kanıtı olarak tanımlanıyor. Calif’in bunu gerçek kullanıcılara karşı kullandığına veya gerçek dünyada kitlesel bir bulaşmaya yol açtığına ilişkin kamuya açık kanıt bulunmuyor. 9

WeWorm’un güvenlik açısından asıl mesajı

WeWorm’u dikkat çekici kılan üç özelliği aynı anda birleştirmesiydi: sıfır tıklama ile istismar, güvenilen kişi hesapları üzerinden kendi kendine yayılma ve iOS ile Android arasında çalışabilme. Bildirilen açık giderilmiş olsa da çalışma, özellikle arama işleme gibi otomatik yürütülen iletişim özelliklerinin yüksek değerli saldırı yüzeylerine dönüşebileceğini hatırlatıyor.

Kullanıcılar için pratik önlem, WeChat’i ve telefon işletim sistemini güncel tutmaktır. Yazılım ekipleri içinse daha geniş ders; bellek güvenliği testlerine, güvenli arama işleme yollarına, hızlı güvenlik açığı bildirim kanallarına ve hesap kurtarma ile oturum denetimlerinde katmanlı savunmaya öncelik vermektir. 1014