WeChat-Zero-Click-Wurm übernahm Konten durch eingehende Anrufe

Eine Zero-Click-Schwachstelle in WeChat ermöglichte es einem Anrufer, das Konto eines anderen Nutzers zu übernehmen, während dessen Telefon noch klingelte – ohne dass der Anruf angenommen werden musste.

Das Sicherheitsunternehmen Calif entwickelte einen funktionsfähigen Exploit und machte daraus anschließend einen Wurm, der sich über Kontakte verbreiten konnte. In der Demonstration kompromittierte ein Android-Telefon ein iPhone. Dieses rief danach ein zweites Android-Gerät an und kompromittierte es ebenfalls.

Der Anrufer musste bereits als WeChat-Kontakt eingetragen sein. Diese Voraussetzung begrenzt zwar die anfängliche Angriffsfläche, bietet nach der Kontenübernahme jedoch nur wenig Schutz: Mit der kompromittierten Identität lassen sich vertrauenswürdige Kontakte anrufen und weitere Infektionen auslösen.

Calif meldete die Schwachstelle im Juli an Tencent. WeChat 8.0.77 für Android und 8.0.76 für iOS, die am 21. August veröffentlicht wurden, entschärften die Schwachstelle nach Angaben der Forscher. Tencent setzte außerdem eine serverseitige Sperre um, die Calif am 28. August bestätigte.

Angriffe in der Praxis wurden bislang nicht gemeldet.

Der Anruf selbst löste den Exploit aus

Die Schwachstelle erforderte weder Social Engineering noch schädliche Links, Anhänge oder Bestätigungsdialoge. Der Eingang eines WeChat-Anrufs genügte, um den Exploit auszulösen.

Nach Angaben von Calif lief der Angriff auch dann weiter, wenn das Opfer den Anruf annahm. In diesem Fall hörte die Zielperson keinen Ton, während die Ausnutzung im Hintergrund fortgesetzt wurde. Das Ablehnen des Anrufs beendete zwar diesen konkreten Versuch, der Angreifer konnte es später jedoch erneut versuchen – auch dann, wenn der Nutzer das Telefon gerade nicht aktiv bediente.

Die öffentliche Demonstration begann damit, dass ein Android-Gerät ein iPhone über WeChat anrief. Das iPhone-Konto wurde kompromittiert, bevor das Klingeln endete. Das übernommene Konto rief anschließend ein weiteres Android-Telefon an und übernahm dessen WeChat-Konto nach demselben Verfahren.

Dieses Verbreitungsmodell macht die Kontaktvoraussetzung zu einem potenziell hilfreichen Bestandteil des Angriffs statt zu einer dauerhaften Barriere. Ein Anruf von einer bekannten Person wirkt weniger verdächtig, und jedes neu kompromittierte Konto eröffnet weitere vertrauenswürdige Beziehungen.

Calif hat die technischen Details zur Reproduktion des Exploits bislang nicht veröffentlicht. Das Unternehmen hält sie bis zu einer Konferenzpräsentation zurück. Daher bleiben die anfällige Komponente, das Speicherfehler-Primitive, die Ausführungskette und die Interaktionen mit dem Server unveröffentlicht.

Einige Angriffswege wurden als möglich beschrieben, aber nicht experimentell bestätigt. Das demonstrierte Verhalten belegte jedoch eine Zero-Click-Kompromittierung und die plattformübergreifende Verbreitung zwischen Android- und iOS-Konten.

Kontrolle über das Konto, nicht über das gesamte Smartphone

Eine erfolgreiche Ausnutzung verschaffte dem Angreifer nach bisherigen Angaben vollständige Kontrolle über das WeChat-Konto des Opfers. Dazu gehörten das Lesen und Versenden von Nachrichten, das Führen von Anrufen und die Nutzung des Kontos als rechtmäßiger Inhaber.

Die Schwachstelle kompromittierte das zugrunde liegende Smartphone nicht unabhängig davon. Es gibt keine Hinweise darauf, dass der Wurm uneingeschränkten Zugriff auf lokale Dateien, andere Anwendungen, Mikrofone, Kameras oder das Betriebssystem ermöglichte.

Diese Unterscheidung begrenzt zwar die technischen Auswirkungen, macht die Kompromittierung aber keineswegs harmlos. WeChat-Konten können mit Zahlungsfunktionen, offiziellen Konten und Mini-Programmen verknüpft sein, wodurch die Folgen über offengelegte Unterhaltungen hinausgehen.

Ein Angreifer, der als das Opfer agiert, könnte bestehende Beziehungen missbrauchen, über das Konto verfügbare Dienste nutzen oder den Status als vertrauenswürdiger Kontakt einsetzen, um weitere Ziele zu erreichen. Welche Aktionen nach der Kompromittierung Calif genau getestet hat, wurde bislang nicht vollständig offengelegt.

Das mögliche Ausmaß ist beträchtlich. Tencent zufolge hatten WeChat und Weixin zum 30. Juni 2026 zusammen 1,439 Milliarden monatlich aktive Nutzer. Es gibt keine Belege für eine großflächige Infektion, doch die Größe der Nutzerbasis hätte einen funktionsfähigen Wurm besonders gefährlich gemacht.

Android und iOS nachweislich betroffen

Tencent veröffentlichte WeChat 8.0.77 für Android und WeChat 8.0.76 für iOS am 21. August. Calif zufolge entschärften beide Versionen das Problem.

Am 8. September wurde Version 8.0.76 im iOS-Eintrag weiterhin als aktuelle Version angezeigt. Nutzer sollten den jeweils neuesten verfügbaren Client für ihre Plattform installieren, auch wenn der serverseitige Schutz den Exploit von Calif voraussichtlich blockiert, ohne dass ein App-Update erforderlich ist.

Der vollständige Umfang der anfälligen Versionen ist nicht bekannt. Weder Tencent noch Calif haben eine Übersicht der betroffenen Versionen veröffentlicht. Nutzern ist es daher nicht möglich festzustellen, welche im Juli oder August eingesetzten WeChat-Installationen verwundbar waren.

Auch der Status anderer Plattformen ist unklar. Tencent vertreibt separate WeChat-Clients für HarmonyOS, Windows, Mac und Linux. Keine der beiden Organisationen hat mitgeteilt, ob diese Anwendungen den anfälligen Code enthielten oder den schädlichen Anrufpfad empfangen konnten.

Der demonstrierte Wurm bewegte sich zwischen Android und iOS. Das belegt keine Betroffenheit von Desktop-Systemen oder HarmonyOS, schließt sie aber auch nicht aus.

Tencent blockierte den Exploit ohne Sicherheitsmeldung

Die Abwehr besteht aus zwei Ebenen. Aktualisierte Android- und iOS-Clients enthalten Änderungen, die Calif mit der Behebung in Verbindung bringt. Gleichzeitig verhindern serverseitige Kontrollen von Tencent nach vorliegenden Angaben, dass der Exploit Nutzer erreicht.

Calif bestätigte die serverseitige Sperre am 28. August. Da dieser Schutz innerhalb der Infrastruktur von Tencent greift, sollte er auch Nutzer abdecken, die noch kein Update installiert haben. Die Verwendung eines aktuellen Clients bleibt dennoch die sicherere Option, da die serverseitige Filterung nicht klärt, ob der anfällige Code in älteren Installationen weiterhin vorhanden ist.

Tencent hat keine eigene Sicherheitsmeldung veröffentlicht, in der Ursache, betroffene Versionen, Schweregrad oder Maßnahmen zur Behebung erläutert werden. Die Versionshinweise für iOS und der Eintrag im App Store verweisen lediglich auf Fehlerbehebungen.

Am 8. September war keine CVE-Kennung veröffentlicht worden. Auch auf der Website von Tencent zur Reaktion auf Sicherheitsvorfälle gab es keinen entsprechenden Hinweis. Die dort jüngste Ankündigung stammte aus dem April 2022.

Das Fehlen einer Sicherheitsmeldung führt zu einer Transparenzlücke. Administratoren können die Schwachstelle nicht bestimmten Softwarebeständen zuordnen, nicht überprüfen, ob alle verwalteten Endpunkte eine anfällige Version verwendet haben, und keine technischen Indikatoren für eine Kompromittierung auswerten.

KI unterstützte die Entwicklung des ersten Exploits

Calif zufolge half künstliche Intelligenz den Forschern dabei, die Schwachstelle zu identifizieren und innerhalb von etwa zwei Tagen einen ersten Exploit zu entwickeln, der Code auf dem Telefon ausführen konnte. Die Umwandlung dieser ersten Fähigkeit in einen sich verbreitenden Wurm habe eine weitere Woche gedauert, so das Unternehmen.

Die ausführlichere Chronologie nennt den 23. Juli als Zeitpunkt, an dem das Entwicklungsteam von dem Fehler erfuhr. Den ersten Android-Exploit habe es am 30. Juli fertiggestellt, den Wurm am 11. August demonstriert.

Diese Zeiträume stimmen nicht exakt mit den genannten zwei Tagen und einer Woche Entwicklungszeit überein. Der Unterschied könnte auf Arbeitszeit, getrennte Entwicklungsphasen oder unterschiedliche Definitionen des Beginns der Exploit-Entwicklung zurückzuführen sein. Calif hat keine detailliertere Erklärung dazu veröffentlicht.

Die KI-Angabe ist bemerkenswert, weil es dabei um die Entwicklung eines Exploits und nicht lediglich um Code-Review oder die Klassifizierung einer Schwachstelle ging. Mangels technischer Dokumentation lässt sich jedoch nicht beurteilen, welche Aufgaben das KI-System übernahm, wie viel Anleitung durch Menschen erforderlich war oder ob es den fertigen Wurm tatsächlich deutlich schneller möglich machte.

Was Nutzer und Organisationen tun können

Nutzer sollten die neueste verfügbare WeChat-Version über einen offiziellen Vertriebskanal installieren. Die von Calif genannten Versionen mit behobener Schwachstelle sind:

• Android: WeChat 8.0.77
• iOS: WeChat 8.0.76

Die serverseitigen Schutzmechanismen von Tencent blockieren den demonstrierten Exploit nach vorliegenden Angaben für alle Nutzer. Derzeit gibt es keine veröffentlichte Umgehungslösung, außer auf diesen Schutz zu vertrauen und den Client aktuell zu halten.

Außerdem liegen keine öffentlichen Indicators of Compromise, Exploit-Fingerprints, Tabellen zu betroffenen Versionen oder für Nutzer verfügbaren Werkzeuge vor, mit denen sich feststellen ließe, ob ein verdächtiger eingehender Anruf den Exploit enthielt. Die Anrufliste allein kann keine Kompromittierung belegen.

Organisationen, die WeChat auf verwalteten Geräten erlauben, sollten ein übernommenes Konto nicht lediglich als Messaging-Vorfall betrachten. Untersuchungen müssen möglicherweise auch unbefugte Anrufe und Nachrichten, Aktivitäten im Zusammenhang mit Zahlungen, Interaktionen mit Mini-Programmen und Aktionen über offizielle Konten berücksichtigen.

Unerwartete ausgehende Anrufe oder Nachrichten können eine Kontenprüfung rechtfertigen, sind jedoch keine spezifischen Indikatoren für diesen Wurm. Calif und Tencent haben keine zuverlässige Methode zur Erkennung bereits erfolgter Ausnutzungen bereitgestellt.

Vorerst ist die wichtigste Tatsache zugleich die beruhigendste: Der Wurm wurde von Forschern demonstriert, Tencent hat ihn nach eigenen Angaben blockiert, und es wurden keine Angriffe unter Ausnutzung der Schwachstelle gemeldet.