Изследователи от компанията за сигурност Calif са създали червей, който превзема акаунт в WeChat чрез входящо повикване, и са демонстрирали разпространението му между три тестови телефона.
Не е необходимо приемащият повикването да отговаря или да докосва телефона си, за да проработи атаката, но обаждащият се трябва вече да е в списъка му с контакти в WeChat. Calif докладва уязвимостта на Tencent през юли и съобщава, че оттогава компанията е блокирала експлойта за всички потребители.
Не са докладвани атаки, използващи тази уязвимост, и Calif не твърди, че е имало такива. Атаките, които не изискват никакво действие от страна на жертвата, известни като zero-click атаки, не са нови. Миналата година WhatsApp отстрани уязвимост, за която заяви, че може да е била използвана при целенасочени атаки.
Отговарянето на повикването не спира атаката. Calif заяви, че човекът, който вдигне, не чува нищо, а експлойтът все пак сработва. Отхвърлянето на повикването прекратява този опит, но атакуващият може да се обади отново по-късно, например докато жертвата спи.
Обаждащият се трябва да бъде в списъка с контакти в WeChat на жертвата. Calif посочва, че това не е голяма пречка, защото след като даден контакт бъде компрометиран, допълнителното доверие, което WeChat дава на контактите, работи в полза на атакуващия, а не на потребителя.
Това прехвърляне е частта, която демонстрацията показва. Един телефон с Android звъни на iPhone и поема контрол над неговия WeChat, докато телефонът все още звъни. След това компрометираният iPhone се обажда на втори телефон с Android и поема контрол над него по същия начин.
Публикацията на Calif описва маршрути, които даден атакуващ би могъл да използва, а не само тези, които са тествани. След като експлойтът се изпълни, според изследователите, атакуващият получава пълен контрол над акаунта в WeChat и може да чете и изпраща съобщения, да провежда разговори и да действа като собственик на акаунта. Само по себе си това не дава контрол върху самия телефон.
За много потребители този акаунт не е просто приложение за чат. Профилът на WeChat в App Store обхваща плащания, официални акаунти и минипрограми в самото приложение. Tencent отчете общо 1,439 милиарда активни месечни потребители на WeChat и Weixin към 30 юни 2026 г. във финансовите си резултати за второто тримесечие.
Tencent пусна версия 8.0.77 за Android и 8.0.76 за iOS на 21 август, според собствения си регистър на версиите. Calif заяви, че тези версии са неутрализирали проблема и че на 28 август е потвърдено блокирането на експлойта и на сървърите на Tencent.
Изследователите заявиха, че Tencent е „неутрализирала нашия експлойт за всички потребители“. Tencent не е публикувала бюлетин за сигурност относно уязвимостта, а бележките по версията за iOS и описанието в App Store описват актуализацията единствено като отстраняване на грешки.
Според Calif блокирането се извършва на сървърите на Tencent, така че не изисква потребителите да инсталират каквото и да било. Използването на актуална версия все пак остава по-безопасният избор, като на 8 септември в списъка версия 8.0.76, пусната на 21 август, фигурира като текуща версия.
Нито Calif, нито Tencent са публикували кои версии на WeChat са били засегнати, така че потребителите не могат да проверят дали версията, която са използвали през юли или август, е била сред тях.
Tencent също така предлага клиенти на WeChat за HarmonyOS, Windows, Mac и Linux по техни собствени графици за актуализации, като нито една от компаниите не е съобщила дали уязвимостта е засегнала някоя от тях.
Calif задържа техническите подробности и планира да представи пълния анализ на конференция. Компанията не е публикувала индикатори, които специалист по защита би могъл да търси, и няма начин потребител да разбере дали е получил такова обаждане.
Проверките на 8 септември не откриха CVE идентификатор за уязвимостта, нито бюлетин на сайта за реагиране при инциденти на Tencent, където последното съобщение е от април 2022 г. The Hacker News се свърза с Tencent и Calif за коментар.
Calif заяви, че е използвала изкуствен интелект, за да открие уязвимостта и да напише първия експлойт за изпълнение на код на телефона за около два дни. Създаването на червея е отнело още една седмица, съобщават от компанията.
Тяхната собствена хронология показва по-големи интервали. Инженерният им екип е разбрал за уязвимостта на 23 юли, първият експлойт за Android е бил завършен на 30 юли, а демонстрацията на червея – на 11 август. В публикацията не се уточнява дали по-кратките срокове отчитат само чистото работно време.