Il worm zero-click di WeChat dirottava gli account tramite le chiamate in arrivo

Una vulnerabilità zero-click di WeChat permetteva a chi chiamava di prendere il controllo dell’account di un altro utente mentre il telefono del destinatario stava ancora squillando, senza che fosse necessario rispondere.

La società di sicurezza Calif ha sviluppato un exploit funzionante e lo ha poi trasformato in un worm capace di propagarsi tra i contatti. Nella dimostrazione, un telefono Android ha compromesso un iPhone, che a sua volta ha chiamato e compromesso un secondo dispositivo Android.

Chi chiamava doveva essere un contatto WeChat già esistente. Questa condizione limita la superficie d’attacco iniziale, ma offre una protezione minima una volta che un account è stato dirottato: l’identità compromessa può chiamare contatti considerati affidabili e proseguire la catena d’infezione.

Calif ha segnalato la vulnerabilità a Tencent a luglio. Secondo i ricercatori, WeChat 8.0.77 per Android e 8.0.76 per iOS, rilasciati il 21 agosto, hanno mitigato la vulnerabilità. Tencent ha inoltre implementato un blocco lato server, che Calif ha confermato il 28 agosto.

Non sono stati segnalati attacchi reali che abbiano sfruttato la vulnerabilità.

Era la chiamata stessa ad attivare l’exploit

La vulnerabilità non dipendeva da tecniche di social engineering, link o allegati dannosi né da richieste di autorizzazione. Per attivare l’exploit era sufficiente ricevere una chiamata WeChat.

Calif ha dichiarato che l’attacco proseguiva anche se la vittima rispondeva. In questo scenario, il destinatario non sentiva alcun audio mentre l’exploit procedeva in background. Rifiutare la chiamata interrompeva quel particolare tentativo, ma l’attaccante poteva semplicemente riprovare in un secondo momento, anche quando l’utente non stava utilizzando attivamente il telefono.

La dimostrazione pubblica è iniziata con un dispositivo Android che chiamava un iPhone tramite WeChat. L’account dell’iPhone è stato compromesso prima che il telefono smettesse di squillare. L’account dirottato ha quindi chiamato un altro telefono Android e ne ha preso il controllo dell’account WeChat attraverso lo stesso processo.

Questo modello di propagazione rende il requisito del contatto potenzialmente utile all’attacco, anziché una barriera duratura. Una chiamata proveniente da una persona conosciuta ha meno probabilità di apparire sospetta e ogni account appena compromesso offre un nuovo insieme di relazioni fidate.

Calif non ha pubblicato i dettagli tecnici necessari per riprodurre l’exploit. La società li sta trattenendo fino alla presentazione a una conferenza; restano quindi non divulgati il componente vulnerabile, la primitiva di memory corruption, la catena di esecuzione e le interazioni con il server.

Alcuni vettori d’attacco sono stati descritti come possibili, ma non convalidati sperimentalmente. Il comportamento dimostrato ha tuttavia stabilito la compromissione zero-click e la propagazione multipiattaforma tra account Android e iOS.

Controllo dell’account, non dell’intero smartphone

Secondo quanto riferito, lo sfruttamento riuscito garantiva all’attaccante il controllo completo dell’account WeChat della vittima. Questo includeva la possibilità di leggere e inviare messaggi, effettuare chiamate e agire come il legittimo titolare dell’account.

La vulnerabilità non comprometteva autonomamente lo smartphone sottostante. Non è stato dichiarato che il worm garantisse accesso illimitato ai file locali, ad altre applicazioni, ai microfoni, alle fotocamere o al sistema operativo stesso.

Questa distinzione riduce l’impatto tecnico, ma non rende la compromissione trascurabile. Gli account WeChat possono essere collegati a pagamenti, account ufficiali e mini program, estendendo le conseguenze oltre le conversazioni esposte.

Un attaccante che operasse come la vittima avrebbe potuto potenzialmente abusare delle relazioni esistenti, interagire con i servizi disponibili tramite l’account o sfruttare lo status di contatto fidato per raggiungere altri obiettivi. Le azioni successive alla compromissione testate da Calif non sono state divulgate integralmente.

La portata potenziale è considerevole. Tencent ha riferito che WeChat e Weixin contavano complessivamente 1,439 miliardi di utenti attivi mensili al 30 giugno 2026. Non ci sono prove che si sia verificata un’infezione su larga scala, ma le dimensioni della base utenti avrebbero reso particolarmente pericoloso un worm funzionante.

Android e iOS erano esposti in modo dimostrabile

Tencent ha rilasciato WeChat 8.0.77 per Android e WeChat 8.0.76 per iOS il 21 agosto. Calif ha dichiarato che entrambe le versioni mitigavano il problema.

L’8 settembre, la versione 8.0.76 risultava ancora quella corrente nell’elenco iOS. Gli utenti dovrebbero installare il client più recente disponibile per la propria piattaforma, anche se la protezione lato server dovrebbe bloccare l’exploit di Calif senza richiedere un aggiornamento dell’applicazione.

Non è noto l’intero insieme delle versioni vulnerabili. Né Tencent né Calif hanno pubblicato una matrice delle versioni interessate, lasciando agli utenti l’impossibilità di stabilire quali installazioni di WeChat utilizzate a luglio o agosto fossero suscettibili.

Anche lo stato delle altre piattaforme non è chiaro. Tencent distribuisce client WeChat distinti per HarmonyOS, Windows, Mac e Linux, ma nessuna delle due organizzazioni ha indicato se tali applicazioni contenessero il codice vulnerabile o potessero ricevere il percorso di chiamata dannoso.

Il worm dimostrato si spostava tra Android e iOS. Questo non dimostra l’esposizione dei sistemi desktop o di HarmonyOS, ma non la esclude nemmeno.

Tencent ha bloccato l’exploit senza pubblicare un avviso

La mitigazione si articola su due livelli. I client Android e iOS aggiornati contengono modifiche che Calif associa alla correzione, mentre i controlli lato server di Tencent impedirebbero all’exploit di raggiungere gli utenti.

Calif ha confermato il blocco lato server il 28 agosto. Poiché questa protezione opera all’interno dell’infrastruttura di Tencent, dovrebbe coprire anche gli utenti che non hanno ancora effettuato l’aggiornamento. Utilizzare un client aggiornato resta comunque l’opzione più sicura, perché il filtraggio lato server non chiarisce se il codice vulnerabile sia ancora presente nelle installazioni meno recenti.

Tencent non ha pubblicato un avviso di sicurezza dedicato che spieghi la causa principale, le versioni interessate, la gravità o le misure correttive. Le note di rilascio per iOS e la scheda sull’App Store fanno riferimento soltanto alla correzione di bug.

All’8 settembre non era stato pubblicato alcun identificativo CVE e non risultava alcun avviso corrispondente sul sito di risposta agli incidenti di sicurezza di Tencent. L’ultimo annuncio disponibile risaliva ad aprile 2022.

L’assenza di un avviso crea una lacuna di visibilità. Gli amministratori non possono associare la vulnerabilità a inventari software specifici, verificare che ogni endpoint gestito abbia utilizzato una build vulnerabile o esaminare gli indicatori tecnici di compromissione.

L’intelligenza artificiale ha contribuito allo sviluppo dell’exploit iniziale

Calif ha dichiarato che l’intelligenza artificiale ha aiutato i suoi ricercatori a individuare la vulnerabilità e a produrre un exploit iniziale capace di eseguire codice sul telefono in circa due giorni. Secondo la società, trasformare quella capacità iniziale in un worm in grado di propagarsi ha richiesto un’altra settimana.

La cronologia più dettagliata fornita dalla società indica che il team di engineering è venuto a conoscenza del bug il 23 luglio, ha completato il primo exploit per Android il 30 luglio e ha dimostrato il worm l’11 agosto.

Questi intervalli di calendario non coincidono esattamente con i periodi dichiarati di due giorni e una settimana. La differenza potrebbe riflettere il tempo effettivo di lavoro, fasi di sviluppo distinte o definizioni diverse dell’inizio dell’attività di sviluppo dell’exploit. Calif non ha fornito una spiegazione più dettagliata.

La dichiarazione sull’uso dell’intelligenza artificiale è significativa perché riguarda lo sviluppo di exploit, non soltanto la revisione del codice o la classificazione delle vulnerabilità. Tuttavia, l’assenza di documentazione tecnica impedisce di valutare quali attività abbia svolto il sistema di intelligenza artificiale, quanta guida umana sia stata necessaria o se abbia accelerato in modo sostanziale lo sviluppo del worm finale.

Cosa possono fare utenti e organizzazioni

Gli utenti dovrebbero aggiornare alla versione più recente di WeChat disponibile tramite un canale di distribuzione ufficiale. Ove applicabile, le versioni mitigate indicate da Calif sono:

• Android: WeChat 8.0.77
• iOS: WeChat 8.0.76

Secondo quanto riferito, le difese lato server di Tencent bloccano l’exploit dimostrato per tutti gli utenti. Al momento non esiste una soluzione alternativa pubblicata, oltre ad affidarsi a questa protezione e mantenere aggiornato il client.

Non sono inoltre disponibili indicatori di compromissione pubblici, impronte dell’exploit, tabelle delle versioni interessate o strumenti destinati agli utenti che consentano di determinare se una chiamata in arrivo sospetta trasportasse l’exploit. La cronologia delle chiamate, da sola, non può dimostrare una compromissione.

Le organizzazioni che consentono l’uso di WeChat sui dispositivi gestiti dovrebbero considerare un account dirottato qualcosa di più di un semplice incidente di messaggistica. Le indagini potrebbero dover prendere in esame chiamate e messaggi non autorizzati, attività legate ai pagamenti, interazioni con i mini program e azioni che coinvolgono account ufficiali.

Chiamate o messaggi in uscita imprevisti possono giustificare una verifica dell’account, ma non sono indicatori specifici di questo worm. Calif e Tencent non hanno fornito un metodo affidabile per rilevare sfruttamenti avvenuti in passato.

Per ora, il fatto più rilevante è anche quello più rassicurante: il worm è stato dimostrato dai ricercatori, Tencent lo avrebbe bloccato e non sono stati segnalati attacchi che abbiano sfruttato la vulnerabilità.