AI stworzyła robaka dla WeChat w dwa dni — wystarczy jedno nieodebrane połączenie

WeWorm to robak typu zero-click – co oznacza, że infekuje urządzenie bez żadnej czynności ze strony użytkownika. Atak przychodzi jako przychodzące połączenie WeChat. Ofiara nie musi odbierać; exploit aktywuje się podczas dzwonienia, w przerwie między powiadomieniem telefonu a odrzuceniem lub odebraniem.

Podatność leży w stosie VoIP WeChat, kodzie odpowiedzialnym za zarządzanie połączeniami. Błąd uszkodzenia pamięci w tym kodzie pozwolił badaczom bezpieczeństwa z Calif na wykonanie dowolnych poleceń na zdalnym urządzeniu. Po aktywacji robak odczytuje i wysyła wiadomości, wykonuje połączenia i podszywa się pod właściciela konta – a następnie dzwoni do kontaktów tej osoby, powtarzając łańcuch.

Tym, co się liczy poza samą wadą, jest szybkość. Pracując z AI, zespół Calif zlokalizował podatność i napisał pierwszy działający exploit zdalnego wykonania kodu w około dwa dni. Złożenie pełnego robaka zajęło kolejny tydzień. Ten dziesięciodniowy okres od czystej kartki do gotowej broni byłby znaczącym osiągnięciem dla dobrze wyposażonego zespołu jeszcze kilka lat temu. Badacze stwierdzają, że narzędzia AI obniżają próg tego, co może opracować mały zespół, umożliwiając tego typu prace podmiotom, które wcześniej nie miały odpowiedniej wiedzy.

Polecana lekturaRaport CrowdStrike 2026: hakerzy wykorzystują luki w ciągu 24 godzin — AI przyspiesza ataki

Zasięg jest duży. WeChat ma ponad miliard użytkowników, skoncentrowanych w Chinach, ale obecnych globalnie dzięki chińskojęzycznym społecznościom i międzynarodowej bazie instalacyjnej. W demonstracji laboratoryjnej zainfekowane urządzenie z Androidem zainfekowało iPhone’a, który następnie zainfekował drugiego Androida. Działając poprzez listy kontaktów – użytkownicy WeChat mają ich zazwyczaj setki – badacze szacują, że miliony urządzeń mogłyby teoretycznie zostać osiągnięte w ciągu kilku godzin.

Istnieją realne ograniczenia. Atak wymaga, aby początkowy atakujący znajdował się już na liście kontaktów ofiary lub aby najpierw skompromitował kogoś, kto się na niej znajduje. Robak zapewnia kontrolę nad kontem WeChat, a nie nad samym telefonem – choć badacze z Calif zauważają, że połączenie go z dodatkowymi podatnościami umożliwiło pełne przejęcie urządzenia w testach laboratoryjnych. Tencent twierdzi, że nie znalazł dowodów na wykorzystanie wady w środowisku naturalnym przed wydaniem łatki.

Tencent otrzymał zgłoszenie od Calif 24 lipca. Wersje z łatkami pojawiły się 21 sierpnia – Android 8.0.77 i iOS 8.0.76. Potwierdzone 28 sierpnia zabezpieczenie po stronie serwera oznacza, że użytkownicy, którzy nie zaktualizowali aplikacji, nadal są chronieni na poziomie sieci. Użytkownicy WeChat na dowolnej bieżącej wersji nie ponoszą żadnego ryzyka. Nie opublikowano numeru CVE ani oficjalnego biuletynu bezpieczeństwa Tencent.

Calif planuje pełniejsze ujawnienie techniczne, gdy zabezpieczenia na skalę branży zostaną rozwinięte, a oczekiwana jest prezentacja na konferencji. To, co badania pokazują w konkretny sposób, to harmonogram: dla tej klasy podatności w powszechnie używanej aplikacji do przesyłania wiadomości, zespół wspomagany przez AI przekształcił odkrycie w działającego robaka w około dziesięć dni.

Tagi: cyberbezpieczeństwo, bezpieczeństwo AI, Calif, exploit zero-click, Tencent, WeChat

Więcej podobnych

Sztuczna inteligencja napisała exploit zero-day — Google przechwycił go pierwszy

ChatGPT Work: OpenAI łączy ChatGPT i Codex w jednego agenta, który nigdy nie przestaje

Agent AI samodzielnie przeprowadził atak ransomware, ale człowiek wciąż był potrzebny

Skan 380 000 aplikacji zbudowanych z pomocą AI znalazł tysiące bez żadnej autentykacji

Linus Torvalds przyznaje: kod tworzony z AI to już norma w jądrze Linuksa

OpenAI zbudował test do mierzenia niebezpieczeństwa. Sztuczna inteligencja zdała go, będąc nim