Un ver zero-click de WeChat détournait des comptes via des appels entrants

Une vulnérabilité zero-click de WeChat permettait à un appelant de prendre le contrôle du compte d’un autre utilisateur alors que le téléphone de la cible sonnait encore, sans qu’il soit nécessaire de répondre à l’appel.

La société de sécurité Calif a développé un exploit fonctionnel, puis l’a transformé en ver capable de se propager entre les contacts. Lors de sa démonstration, un téléphone Android a compromis un iPhone, qui a ensuite appelé un second appareil Android et l’a compromis à son tour.

L’appelant devait figurer parmi les contacts WeChat de la cible. Cette condition limite la surface d’attaque initiale, mais offre peu de protection une fois le compte détourné : l’identité compromise peut appeler des contacts de confiance et poursuivre la chaîne d’infection.

Calif a signalé la faille à Tencent en juillet. Selon les chercheurs, WeChat 8.0.77 pour Android et 8.0.76 pour iOS, publiés le 21 août, atténuent la vulnérabilité. Tencent a également mis en place un blocage côté serveur, que Calif a confirmé le 28 août.

Aucune exploitation lors d’attaques réelles n’a été signalée.

L’appel déclenchait lui-même l’exploit

La vulnérabilité ne reposait ni sur l’ingénierie sociale, ni sur des liens ou pièces jointes malveillants, ni sur des demandes d’autorisation. Il suffisait de recevoir l’appel WeChat pour déclencher l’exploit.

Calif a indiqué que l’attaque se poursuivait même si la victime répondait. Dans ce cas, la cible n’entendait aucun son tandis que l’exploitation se déroulait en arrière-plan. Refuser l’appel interrompait cette tentative précise, mais l’attaquant pouvait simplement réessayer plus tard, notamment lorsque l’utilisateur ne manipulait pas activement son téléphone.

La démonstration publique a commencé par un appel passé depuis un appareil Android vers un iPhone via WeChat. Le compte de l’iPhone a été compromis avant même que la sonnerie ne s’arrête. Le compte détourné a ensuite appelé un autre téléphone Android et pris le contrôle de son compte WeChat selon le même processus.

Ce modèle de propagation fait de l’exigence de contact un élément potentiellement utile à l’attaque plutôt qu’un obstacle durable. Un appel provenant d’une personne connue a moins de chances de paraître suspect, et chaque compte nouvellement compromis fournit un nouvel ensemble de relations de confiance.

Calif n’a pas publié les détails techniques nécessaires pour reproduire l’exploit. La société les garde confidentiels jusqu’à une présentation lors d’une conférence ; le composant vulnérable, la primitive de corruption mémoire, la chaîne d’exécution et les interactions avec le serveur restent donc inconnus.

Certains vecteurs d’attaque ont été décrits comme possibles plutôt que validés expérimentalement. Le comportement démontré a toutefois établi la possibilité d’une compromission zero-click et d’une propagation multiplateforme entre des comptes Android et iOS.

Le contrôle du compte, pas celui du smartphone

Selon les informations disponibles, l’exploitation réussie donnait à l’attaquant le contrôle total du compte WeChat de la victime. Il pouvait notamment lire et envoyer des messages, passer des appels et agir comme le titulaire légitime du compte.

La vulnérabilité ne permettait pas, à elle seule, de compromettre le smartphone sous-jacent. Rien n’indique que le ver fournissait un accès sans restriction aux fichiers locaux, aux autres applications, aux microphones, aux caméras ou au système d’exploitation lui-même.

Cette distinction réduit l’impact technique, mais ne rend pas la compromission anodine. Les comptes WeChat peuvent être associés à des paiements, à des comptes officiels et à des mini-programmes, ce qui étend les conséquences au-delà des conversations exposées.

Un attaquant opérant sous l’identité de la victime pourrait exploiter ses relations existantes, interagir avec les services accessibles depuis le compte ou utiliser son statut de contact de confiance pour atteindre d’autres cibles. Les actions postérieures à la compromission testées précisément par Calif n’ont pas été entièrement détaillées.

L’ampleur potentielle est considérable. Tencent a indiqué que WeChat et Weixin comptaient ensemble 1,439 milliard d’utilisateurs actifs mensuels au 30 juin 2026. Rien ne prouve qu’une infection à grande échelle ait eu lieu, mais la taille de la base d’utilisateurs aurait rendu un ver fonctionnel particulièrement dangereux.

Android et iOS étaient tous deux effectivement exposés

Tencent a publié WeChat 8.0.77 pour Android et WeChat 8.0.76 pour iOS le 21 août. Calif a indiqué que ces deux versions atténuaient le problème.

Le 8 septembre, la version 8.0.76 figurait toujours comme version actuelle dans la fiche iOS. Les utilisateurs doivent installer le client le plus récent disponible pour leur plateforme, même si la protection côté serveur devrait bloquer l’exploit de Calif sans nécessiter de mise à jour de l’application.

L’ensemble des versions vulnérables n’est pas connu. Ni Tencent ni Calif n’ont publié de tableau des versions concernées, empêchant les utilisateurs de déterminer quelles installations de WeChat utilisées en juillet ou en août étaient vulnérables.

Le statut des autres plateformes demeure également incertain. Tencent distribue des clients WeChat distincts pour HarmonyOS, Windows, Mac et Linux, mais aucune des deux organisations n’a indiqué si ces applications contenaient le code vulnérable ou pouvaient recevoir le chemin d’appel malveillant.

Le ver démontré se propageait entre Android et iOS. Cela ne permet pas d’établir une exposition des systèmes de bureau ou de HarmonyOS, mais ne l’exclut pas non plus.

Tencent a bloqué l’exploit sans publier d’avis de sécurité

La mesure d’atténuation comporte deux volets. Les clients Android et iOS mis à jour intègrent des modifications que Calif associe au correctif, tandis que les contrôles côté serveur de Tencent empêcheraient l’exploit d’atteindre les utilisateurs.

Calif a confirmé le blocage côté serveur le 28 août. Comme cette protection fonctionne au sein de l’infrastructure de Tencent, elle devrait couvrir les utilisateurs qui n’ont pas encore effectué la mise à niveau. Utiliser un client à jour reste néanmoins l’option la plus sûre, car le filtrage côté serveur ne permet pas de déterminer si du code vulnérable est toujours présent dans les anciennes installations.

Tencent n’a publié aucun avis de sécurité dédié détaillant la cause première, les versions concernées, la gravité ou les mesures correctives. Les notes de version iOS et la fiche de l’App Store mentionnent uniquement des corrections de bugs.

Au 8 septembre, aucun identifiant CVE n’avait été publié et aucun avis correspondant ne figurait sur le site de réponse aux incidents de sécurité de Tencent. La dernière annonce qui y était répertoriée datait d’avril 2022.

L’absence d’avis crée un déficit de visibilité. Les administrateurs ne peuvent pas associer la faille à des inventaires logiciels précis, vérifier que chaque terminal géré exécutait une version vulnérable ou rechercher des indicateurs techniques de compromission.

L’IA a contribué au développement de l’exploit initial

Calif a indiqué que l’intelligence artificielle avait aidé ses chercheurs à identifier la faille et à produire un exploit initial capable d’exécuter du code sur le téléphone en environ deux jours. Selon la société, transformer cette capacité initiale en ver capable de se propager a nécessité une semaine supplémentaire.

Sa chronologie plus détaillée précise que l’équipe d’ingénierie a pris connaissance du bug le 23 juillet, achevé le premier exploit Android le 30 juillet et démontré le ver le 11 août.

Ces intervalles calendaires ne correspondent pas exactement aux durées annoncées de deux jours et d’une semaine. Cette différence peut s’expliquer par le temps de travail effectif, par des phases de développement distinctes ou par des définitions différentes du début de la mise au point de l’exploit. Calif n’a pas fourni d’explication plus détaillée.

La mention de l’IA est notable, car elle concerne le développement d’un exploit et non simplement la revue de code ou la classification d’une vulnérabilité. Toutefois, en l’absence de documentation technique, il est impossible de déterminer quelles tâches le système d’IA a effectuées, quelle assistance humaine a été nécessaire ou s’il a réellement accéléré la mise au point du ver final.

Ce que peuvent faire les utilisateurs et les organisations

Les utilisateurs doivent mettre à jour WeChat avec la version la plus récente disponible via un canal de distribution officiel. Le cas échéant, les versions corrigées identifiées par Calif sont les suivantes :

• Android : WeChat 8.0.77
• iOS : WeChat 8.0.76

Les défenses côté serveur de Tencent bloqueraient l’exploit démontré pour tous les utilisateurs. Aucun autre contournement n’a été publié à ce jour : il faut donc s’en remettre à cette protection et maintenir le client à jour.

Il n’existe pas non plus d’indicateurs de compromission publics, d’empreintes de l’exploit, de tableaux des versions concernées ou d’outils destinés aux utilisateurs permettant de déterminer si un appel entrant suspect transportait l’exploit. L’historique des appels ne permet pas, à lui seul, d’établir une compromission.

Les organisations qui autorisent WeChat sur des appareils gérés doivent considérer un compte détourné comme un incident dépassant le cadre de la messagerie. Les investigations peuvent devoir prendre en compte les appels et messages non autorisés, les activités liées aux paiements, les interactions avec des mini-programmes et les actions impliquant des comptes officiels.

Des appels ou messages sortants inattendus peuvent justifier un examen du compte, mais ils ne constituent pas des indicateurs spécifiques de ce ver. Calif et Tencent n’ont fourni aucune méthode fiable pour détecter une exploitation passée.

Pour l’instant, le fait le plus important est aussi le plus rassurant : le ver a été démontré par des chercheurs, Tencent l’aurait bloqué et aucune attaque exploitant la vulnérabilité n’a été signalée.