A IA criou em dois dias um worm que rouba contas do WeChat com uma única ligação

WeWorm é um worm de zero clique — ou seja, ele compromete um dispositivo sem que a pessoa que o segura precise fazer nada. O ataque chega como uma chamada recebida do WeChat. O alvo não precisa atender; o exploit é acionado durante a fase de toque, no intervalo entre o telefone notificar o usuário e ele recusar ou atender.

A vulnerabilidade está na pilha VoIP do WeChat, o código responsável por gerenciar chamadas. Uma falha de corrupção de memória nesse código permitiu que pesquisadores de segurança da Calif executassem comandos arbitrários em um dispositivo remoto. Uma vez ativo, o worm lê e envia mensagens, faz chamadas e se passa pelo dono da conta — e então liga para os contatos dessa pessoa, repetindo a cadeia.

O que importa além da falha em si é a velocidade. Trabalhando com IA, a equipe da Calif localizou a vulnerabilidade e escreveu o primeiro exploit funcional de execução remota de código em aproximadamente dois dias. Montar o worm completo levou mais uma semana. Esse total de dez dias, do zero até uma arma implantável, teria sido uma conquista significativa para uma equipe bem equipada alguns anos atrás. Os pesquisadores afirmam que as ferramentas de IA reduzem o nível de exigência para o que uma equipe pequena pode desenvolver, colocando esse tipo de trabalho ao alcance de agentes que antes não teriam a expertise necessária.

O alcance é grande. O WeChat tem mais de um bilhão de usuários, concentrados na China, mas presentes globalmente por meio de comunidades chinesas e da base instalada internacionalmente. Em uma demonstração em laboratório, um dispositivo Android comprometido infectou um iPhone, que por sua vez infectou um segundo Android. Trabalhando por meio de listas de contatos — os usuários do WeChat normalmente têm centenas deles — os pesquisadores estimam que milhões de dispositivos poderiam teoricamente ser alcançados em questão de horas.

Existem limites reais. O ataque exige que o atacante inicial já esteja na lista de contatos do alvo, ou que primeiro comprometa alguém que esteja. O worm oferece controle sobre a conta do WeChat, não sobre o telefone em si — embora os pesquisadores da Calif observem que, ao encadear com vulnerabilidades adicionais, conseguiram assumir o controle total do dispositivo em seus testes de laboratório. A Tencent afirma que não encontrou evidências de que a falha tenha sido explorada na natureza antes da chegada do patch.

A Tencent recebeu a divulgação da Calif em 24 de julho. Versões corrigidas apareceram em 21 de agosto — Android 8.0.77 e iOS 8.0.76. Uma mitigação no lado do servidor, confirmada em 28 de agosto, significa que os usuários que não atualizaram permanecem protegidos no nível de rede. Usuários do WeChat em qualquer versão atual não carregam risco residual. Nenhum número CVE ou aviso de segurança formal da Tencent foi publicado.

A Calif planeja uma divulgação técnica mais completa assim que as mitigações em toda a indústria avançarem, com uma apresentação em conferência esperada. O que a pesquisa torna concreto é o cronograma: para essa classe de vulnerabilidade em um aplicativo de mensagens amplamente usado, uma equipe assistida por IA converteu a descoberta em um worm implantável em aproximadamente dez dias.

Tags: cibersegurança, segurança IA, Calif, exploit zero-click, Tencent, WeChat