WeWorm: cuộc gọi WeChat chưa cần bắt máy vẫn có thể bị chiếm tài khoản

WeWorm là một bản trình diễn chứng minh khái niệm (proof of concept) do công ty an ninh mạng Calif ở Palo Alto xây dựng. Theo Calif, mã sâu này khai thác lỗi hỏng bộ nhớ trong ngăn xếp VoIP — phần mã xử lý cuộc gọi thoại — của WeChat để chiếm quyền một tài khoản chỉ trong vài giây khi có cuộc gọi đến. Người nhận không cần nghe máy, bấm liên kết hay thao tác với điện thoại. Calif cho biết đã báo cáo riêng lỗi này cho Tencent trước khi công bố; Tencent sau đó đã triển khai biện pháp khắc phục. 1014

Vì sao đây được gọi là tấn công “zero-click”?

Trong kiểu tấn công thông thường, nạn nhân phải thực hiện một hành động như mở tệp đính kèm, nhấn vào đường dẫn độc hại hoặc chấp nhận cuộc gọi. Với WeWorm, phần mềm dễ tổn thương xử lý dữ liệu cuộc gọi ngay trong lúc chuông đang reo. Calif nói việc khai thác có thể diễn ra ở giai đoạn đó, tức trước khi người dùng có hành động đáng kể nào. 103

Đó là ý nghĩa của zero-click: không cần một cú chạm hay cú nhấp từ nạn nhân. Calif không công bố chi tiết kỹ thuật cấp thấp của lỗ hổng và mã khai thác, qua đó hạn chế nguy cơ bị sao chép để lạm dụng. 10

Nó có thể tự lan như thế nào?

Điểm khiến WeWorm đáng chú ý là đặc tính của một mã sâu: sau khi chiếm được tài khoản WeChat, nó có thể dùng chính tài khoản đó để gọi cho những người trong danh bạ hoặc danh sách bạn bè, rồi thử lặp lại cùng phương thức tấn công. 110

Cơ chế lan truyền qua quan hệ liên hệ vừa nguy hiểm vừa có giới hạn:

• Cuộc gọi từ một tài khoản quen thuộc có thể khiến người nhận ít cảnh giác hơn.
• Mã sâu có thể đi từ tài khoản này sang tài khoản khác trong mạng lưới liên hệ mà kẻ tấn công không cần chọn thủ công từng mục tiêu.
• Tuy nhiên, nó phụ thuộc vào việc giữa hai bên đã có quan hệ liên hệ/kết bạn trên WeChat, chứ không thể mặc nhiên tiếp cận mọi người dùng bất kỳ. 1

Calif đã trình diễn chuỗi lây lan giữa Android và iOS, cho thấy ý tưởng này có thể hoạt động xuyên nền tảng. Các nhận định rằng WeWorm có thể vươn tới hàng trăm triệu tài khoản là ước tính về khả năng lan rộng dựa trên quy mô mạng lưới WeChat, không phải bằng chứng về một đợt lây nhiễm thực tế đã xảy ra. 1013

Kẻ tấn công có thể làm gì sau khi chiếm tài khoản?

Calif mô tả kết quả là kiểm soát hoàn toàn tài khoản WeChat. Điều đó có thể cho phép kẻ tấn công đọc và gửi tin nhắn, thực hiện cuộc gọi, giả mạo chủ tài khoản và dùng tài khoản ấy để nhắm đến các liên hệ tiếp theo. 18

Cần phân biệt rõ: đây không đồng nghĩa với việc iPhone hoặc điện thoại Android bị chiếm toàn bộ ở cấp hệ điều hành. Tác động được trình diễn là ở cấp tài khoản WeChat; Calif cho biết muốn kiểm soát hoàn toàn thiết bị thì sẽ cần ghép thêm các lỗ hổng riêng khác. 14

AI đã góp phần gì?

Theo Calif, nhóm nghiên cứu dùng AI để tìm lỗ hổng và viết mã khai thác thực thi mã từ xa (RCE) ban đầu trong khoảng hai ngày, sau đó mất thêm khoảng một tuần để hoàn thiện bản trình diễn mã sâu. 108

Điểm đáng lưu ý không phải là AI tự mình mở một chiến dịch tấn công. Thay vào đó, WeWorm minh họa cách AI có thể rút ngắn thời gian và giảm mức độ chuyên môn cần thiết trong các khâu tìm lỗi, gỡ lỗi, thử nghiệm mã khai thác và điều chỉnh kỹ thuật. Những năng lực tương tự cũng có thể hỗ trợ phía phòng thủ trong việc phân tích phần mềm và đẩy nhanh quá trình vá lỗi.

Thông tin công khai từ Calif chỉ nói nhóm đã làm việc cùng AI, nhưng không xác nhận đáng tin cậy một mô hình hay công cụ lập trình cụ thể. Vì vậy, không có cơ sở để khẳng định WeWorm đã dùng Claude, GPT, Codex hay một sản phẩm được nêu tên nào khác. 10

Tencent đã vá lỗi ra sao và có người dùng nào bị tấn công thực tế không?

Calif cho biết đã báo cáo riêng lỗ hổng cho Tencent vào tháng 7. Theo công ty này, Tencent phát hành WeChat Android 8.0.77 và iOS 8.0.76 vào ngày 21/8; sau đó, Calif nói một biện pháp giảm thiểu ở phía máy chủ đã chặn được cách khai thác này cho toàn bộ người dùng. Tencent xác nhận lỗ hổng có thể dẫn tới thực thi lệnh từ xa. 1014

Điều quan trọng là WeWorm được mô tả trong các công bố là một bản thử nghiệm, không phải bằng chứng về một đợt bùng phát ngoài thực tế. Hiện không có bằng chứng công khai cho thấy Calif đã triển khai WeWorm nhằm vào người dùng thật hoặc rằng nó từng gây lây nhiễm hàng loạt. 9

Bài học bảo mật từ WeWorm

WeWorm kết hợp ba yếu tố có tác động lớn: khai thác zero-click, tự lan qua các liên hệ đáng tin cậy và khả năng hoạt động trên cả iOS lẫn Android. Dù lỗi được báo cáo là đã được giảm thiểu, trường hợp này vẫn nhắc nhở rằng các tính năng truyền thông tự động xử lý nội dung — đặc biệt là xử lý cuộc gọi — có thể trở thành bề mặt tấn công có giá trị cao.

Với người dùng, biện pháp thực tế nhất vẫn là cập nhật WeChat và hệ điều hành điện thoại thường xuyên. Với các đội ngũ phát triển, bài học rộng hơn là ưu tiên kiểm thử an toàn bộ nhớ, bảo vệ chặt luồng xử lý cuộc gọi, duy trì kênh tiếp nhận báo lỗi nhanh, đồng thời triển khai nhiều lớp phòng vệ cho khôi phục tài khoản và kiểm soát phiên đăng nhập. 1014