A Calif kutatói AI segítségével zero-click férget készítettek a WeChathez. Az eset, amelyet a The New York Times dokumentált, jól mutatja, mennyire lerövidült a rés felfedezésétől a működő támadásig vezető út: a csapatnak nagyjából két nap kellett az első RCE-exploit elkészítéséhez, a teljes féreghez pedig további körülbelül egy hét. A Tencent megerősítette a sérülékenységet, ugyanakkor közölte, hogy javította, és nincs oka feltételezni, hogy felhasználókat érintett volna.
A féreg neve WeWorm ; a WeChat VoIP-komponensének memóriakorrupciós hibáját használja ki. A forgatókönyv ijesztően egyszerű: a támadó WeChat-hívást indít az áldozat felé, a telefon pedig már csörgés közben kompromittálódhat. Nem kell linkre kattintani, de még a hívást sem kell fogadni. Van azonban egy feltétel: a támadónak már szerepelnie kell az áldozat ismerősei között. Egy fiók feltörése után viszont éppen az ismerőslista válhat a következő ugrás eszközévé.
A Calif három telefonon demonstrálta a láncot: egy Pixel 10a támadott meg egy iPhone 17e-t, majd az iPhone kompromittált fiókját használták egy második Pixel 10a megtámadására. A kutatók szerint néhány másodperc alatt átvehették az irányítást a WeChat-fiók felett, így üzeneteket olvashattak és küldhettek, illetve hívásokat kezdeményezhettek. Ez nem jelent automatikusan teljes hozzáférést a telefonhoz; a teljes készülék átvételéhez további Android– vagy iOS-sérülékenységekkel kellene összekapcsolni az exploitot. Fontos különbség ez, különösen akkor, amikor az „AI” szó hallatán könnyű azonnal filmes forgatókönyvekre gondolni.
Az AI jelentősen lerövidítette a fejlesztési időt
Valójában ez változtatja meg a vitát. A Calif szerint a csapat AI-modellekkel együttműködve találta meg a hibát, és mintegy két nap alatt készítette el az első távoli kódfuttatásra alkalmas exploitot. Az iOS és Android között terjedni képes féreghez további körülbelül egy hét munkára volt szükség.
Nem egy magára hagyott AI-ról van szó, amely önállóan „telefonokat tör fel”. A kutatók hangsúlyozzák, hogy az emberek választották ki a célokat, ellenőrizték az eredményeket és irányították a folyamatot. Ugyanaz a tendencia rajzolódik ki, amelyet akkor is láttunk, amikor a Google AI segítségével készült exploitot azonosított: a sérülékenységek felkutatásának és kihasználásának költsége, illetve időigénye érdemben csökkenni kezdett.
A tétet növeli, hogy a Weixinnek és a WeChatnek együtt több mint 1,4 milliárd havi aktív felhasználója van a Tencent szerint. Vinh Nguyen, az NSA korábbi vezető adatkutatója a NYT-nek úgy becsülte, hogy egy ilyen féreg néhány óra alatt több százmillió eszközt érhetett volna el, ha szabadon terjedhet. Ez azonban becsült terjedési forgatókönyv, nem ténylegesen bekövetkezett esemény.
A sérülékenység már nem tekinthető kihasználhatónak
A Calif szerint július 24-én jelentették a hibát a Tencentnek. Augusztus 21-én megjelent a WeChat 8.0.77 Androidra és a 8.0.76 iOS-re, augusztus 28-án pedig a kutatók megerősítették, hogy exploitjukat szerveroldalon minden felhasználónál blokkolták. A Tencent külön is azt közölte a NYT-tal, hogy a javítás nem igényelt felhasználói beavatkozást, és nincs jele annak, hogy a rést felhasználók ellen kihasználták volna.
Az eset ugyanakkor komoly figyelmeztetés a kiberbiztonság számára. A zero-click támadások nem az AI korszakának találmányai, ám az olyan eszközök, amelyek kutatókat vagy támadókat segíthetnek egy sérülékenység gyors felderítésében és érett exploittá alakításában, átírják az erőviszonyokat. A WeWorm nem okozott digitális járványt; inkább azt mutatja meg, milyen gyorsan készülhet el a következő.
