L’IA ha costruito in due giorni un worm che ruba account WeChat con una sola chiamata

WeWorm è un worm zero-click — il che significa che compromette un dispositivo senza alcuna azione da parte di chi lo possiede. L’attacco arriva come una chiamata WeChat in arrivo. Il bersaglio non deve rispondere; lo sfruttamento si attiva durante la fase di squillo, nel lasso di tempo tra la notifica della chiamata e il rifiuto o la risposta dell’utente.

La vulnerabilità risiede nello stack VoIP di WeChat, il codice responsabile della gestione delle chiamate. Una falla di corruzione della memoria in quel codice ha permesso ai ricercatori di sicurezza di Calif di eseguire comandi arbitrari su un dispositivo remoto. Una volta attivo, il worm legge e invia messaggi, effettua chiamate e si spaccia per il proprietario dell’account — quindi chiama i contatti di quella persona, ripetendo la catena.

Ciò che conta, al di là della falla stessa, è la velocità. Lavorando con l’IA, il team di Calif ha individuato la vulnerabilità e scritto il primo exploit funzionante per esecuzione di codice da remoto in circa due giorni. Per assemblare il worm completo ci è voluta un’altra settimana. Quel totale di dieci giorni, dal foglio bianco all’arma utilizzabile, sarebbe stato un risultato significativo per un team ben finanziato qualche anno fa. I ricercatori affermano che gli strumenti di IA abbassano il livello di difficoltà per ciò che un piccolo team può sviluppare, mettendo questa classe di lavoro alla portata di attori che in precedenza non avrebbero avuto le competenze necessarie.

La portata è ampia. WeChat conta oltre un miliardo di utenti, concentrati in Cina ma presenti a livello globale attraverso le comunità sinofone e la base installata internazionale. In una dimostrazione in laboratorio, un dispositivo Android compromesso ha infettato un iPhone, che a sua volta ha infettato un secondo Android. Attraverso le rubriche dei contatti — gli utenti WeChat di solito ne hanno centinaia — i ricercatori stimano che milioni di dispositivi potrebbero teoricamente essere raggiunti in poche ore.

Ci sono limiti reali. L’attacco richiede che l’aggressore iniziale sia già presente nella rubrica del bersaglio, o che comprometta prima qualcuno che lo è. Il worm concede il controllo sull’account WeChat, non sul telefono in sé — anche se i ricercatori di Calif sottolineano che, combinandolo con altre vulnerabilità, nei test di laboratorio hanno ottenuto il controllo completo del dispositivo. Tencent afferma di non aver trovato prove che la vulnerabilità fosse stata sfruttata in natura prima dell’arrivo della patch.

Tencent ha ricevuto la segnalazione di Calif il 24 luglio. Le versioni corrette sono uscite il 21 agosto — Android 8.0.77 e iOS 8.0.76. Una mitigazione lato server, confermata il 28 agosto, significa che gli utenti che non hanno effettuato l’aggiornamento rimangono protetti a livello di rete. Gli utenti di WeChat su qualsiasi versione attuale non corrono rischi residui. Non sono stati pubblicati né un numero CVE né un avviso di sicurezza ufficiale di Tencent.

Calif prevede una divulgazione tecnica più completa non appena la mitigazione a livello di settore farà progressi, con una presentazione in conferenza prevista. Ciò che la ricerca rende concreto è la tempistica: per questa classe di vulnerabilità in un’app di messaggistica ampiamente utilizzata, un team assistito dall’IA ha trasformato la scoperta in un worm utilizzabile in circa dieci giorni.

Tag: cybersicurezza, sicurezza IA, Calif, exploit zero-click, Tencent, WeChat