Vulnerabilità in WeChat: scoperte da ricercatori worm zero-click che compromettono gli account

Un team di ricercatori del gruppo Calif ha recentemente identificato una grave vulnerabilità nella pila VoIP dell’app WeChat, utilizzata da circa 1,4 miliardi di persone in tutto il mondo. Questa falla consente a un attaccante di prendere il controllo degli account senza che la vittima debba interagire in alcun modo. Per dimostrare l’esistenza di questa vulnerabilità, è stato sviluppato un worm chiamato WeWorm, capace di diffondersi attraverso le chiamate effettuate con l’applicazione. È sufficiente che il dispositivo della vittima inizi a squillare affinché l’attacco abbia luogo, senza necessità di risposta da parte dell’utente.

La vulnerabilità, di tipo memory corruption, è stata scoperta nei sistemi di WeChat, che funge da piattaforma multifunzionale per messaggistica, chiamate, social media e pagamenti. I ricercatori hanno deciso di non divulgare dettagli tecnici al momento, con l’intenzione di presentarli in una conferenza futura. Inoltre, hanno dichiarato che continueranno a investigare su superfici di attacco simili in altre applicazioni.

Perché l’attacco abbia successo, l’attaccante deve essere presente nella rubrica della vittima. Il worm è in grado di operare sia su dispositivi Android che iOS, indipendentemente dal modello. Se la vittima risponde alla chiamata, sentirà solo silenzio, ma l’attacco prosegue. Se la chiamata viene rifiutata, l’attacco si interrompe temporaneamente, ma può essere ripetuto in un secondo momento. Entro pochi secondi, l’attaccante può accedere a messaggi, rubrica e altre risorse dell’app.

Nonostante WeChat consenta trasferimenti di denaro tramite WeChat Pay, le misure di sicurezza implementate, come autenticazioni e controlli di rischio, riducono il rischio di operazioni finanziarie non autorizzate in seguito alla compromissione. Fino ad oggi, non ci sono evidenze che dimostrino l’utilizzo della vulnerabilità in attacchi reali.

La vulnerabilità è stata segnalata responsabilmente al gestore dell’app, che ha rilasciato aggiornamenti per correggere il problema: la versione 8.0.77 per Android e la versione 8.0.76 per iOS. Tuttavia, le note di rilascio non forniscono dettagli tecnici, e l’operatore ha comunicato che la mitigazione è stata applicata anche lato server. Le versioni dell’app per altri sistemi operativi, come HarmonyOS, Windows, Mac e Linux, non sono state testate dai ricercatori e non sono incluse nella correzione comunicata. I ricercatori promettono di condividere ulteriori dettagli e progressi in futuro.