A IA criou em dois dias um worm que rouba contas WeChat com uma simples chamada

O WeWorm é um worm de zero clique — ou seja, compromete um dispositivo sem qualquer ação por parte de quem o detém. O ataque chega sob a forma de uma chamada recebida do WeChat. O alvo não precisa de atender; o exploit é acionado durante a fase de toque, no intervalo entre o telemóvel notificar o utilizador e este recusar ou atender a chamada.

A vulnerabilidade reside na pilha VoIP do WeChat, o código responsável pela gestão de chamadas. Uma falha de corrupção de memória nesse código permitiu aos investigadores de segurança da Calif executar comandos arbitrários num dispositivo remoto. Uma vez ativo, o worm lê e envia mensagens, faz chamadas e faz-se passar pelo dono da conta — e depois liga para os contactos dessa pessoa, repetindo a cadeia.

O que importa, para além da falha em si, é a velocidade. Com recurso a IA, a equipa da Calif localizou a vulnerabilidade e escreveu o primeiro exploit funcional de execução remota de código em cerca de dois dias. Montar o worm completo levou mais uma semana. Este total de dez dias, de uma folha em branco a uma arma operacional, teria sido um feito significativo para uma equipa bem financiada há alguns anos. Os investigadores afirmam que as ferramentas de IA baixam o limiar para aquilo que uma pequena equipa pode desenvolver, colocando este tipo de trabalho ao alcance de agentes que anteriormente não teriam a especialização necessária.

O alcance é grande. O WeChat tem mais de mil milhões de utilizadores, concentrados na China mas presentes globalmente através de comunidades chinesas e da base instalada internacionalmente. Numa demonstração em laboratório, um dispositivo Android comprometido infetou um iPhone, que por sua vez infetou um segundo Android. Através das listas de contactos — os utilizadores do WeChat têm tipicamente centenas de contactos — os investigadores estimam que milhões de dispositivos poderiam, teoricamente, ser alcançados em poucas horas.

Existem limitações reais. O ataque exige que o atacante inicial já conste da lista de contactos do alvo, ou que primeiro comprometa alguém que conste. O worm concede controlo sobre a conta do WeChat, não sobre o telemóvel subjacente — embora os investigadores da Calif notem que, ao encadear esta vulnerabilidade com outras, conseguiram assumir o controlo total do dispositivo nos seus testes em laboratório. A Tencent afirma que não encontrou provas de que a falha tenha sido explorada na natureza antes de a correção chegar.

A Tencent recebeu a divulgação da Calif a 24 de julho. As versões corrigidas surgiram a 21 de agosto — Android 8.0.77 e iOS 8.0.76. Uma mitigação ao nível do servidor, confirmada a 28 de agosto, significa que os utilizadores que não atualizaram permanecem protegidos ao nível da rede. Os utilizadores do WeChat em qualquer versão atual não correm qualquer risco residual. Não foi publicado nenhum número CVE nem nenhum aviso de segurança formal da Tencent.

A Calif planeia uma divulgação técnica mais completa assim que a mitigação a nível da indústria avance, esperando-se uma apresentação numa conferência. O que a investigação torna concreto é o calendário: para esta classe de vulnerabilidade numa aplicação de mensagens amplamente utilizada, uma equipa apoiada por IA converteu a descoberta num worm operacional em cerca de dez dias.

Etiquetas: cibersegurança, segurança IA, Calif, exploit zero-click, Tencent, WeChat