Forskere bygde en WeChat-orm som overtar kontoen mens telefonen ringer

Sikkerhetsselskapet Calif har bygget en orm som tar over en WeChat-konto via et innkommende anrop, og demonstrert at den sprer seg mellom tre testtelefoner. I demoen ringte en Android-telefon en iPhone og overtok WeChat-kontoen mens telefonen fortsatt ringte. Den kompromitterte iPhonen ringte deretter en ny Android-telefon og tok kontroll over den på samme måte. Calif rapporterte feilen til Tencent i juli, og sier selskapet siden har blokkert exploiten.

«mitigated our exploit for all users» — Calif, om Tencents utbedring

Mottakeren trenger verken å svare eller ta på telefonen. Å svare stopper heller ikke angrepet: den som tar den opp hører ingenting, og koden kjører uansett. Avviser du anropet, avsluttes det forsøket, men angriperen kan ringe igjen senere, for eksempel mens du sover. Kravet er at den som ringer allerede står i kontaktlista di, og Calif mener det er en svak barriere, siden tilliten WeChat gir kontakter jobber for angriperen så snart én kontakt er tatt over. Når exploiten kjører, har angriperen full kontroll over kontoen og kan lese og sende meldinger, ringe og opptre som eieren. Selve telefonen får de ikke kontroll over.

Tencent slapp versjon 8.0.77 for Android og 8.0.76 for iOS 21. august, og Calif bekreftet 28. august at exploiten også var blokkert på Tencents servere. Blokkeringen kjører serverside og krever ikke at brukeren installerer noe. Tencent har ikke publisert noe sikkerhetsvarsel, utgivelsesnotatene beskriver oppdateringen som feilrettinger, og per 8. september fantes ingen CVE-identifikator for feilen. Ingen av selskapene har sagt hvilke versjoner som var sårbare, så en bruker kan ikke sjekke om versjonen de kjørte i juli eller august var en av dem.

Utenfor Kina er det ikke WeChat som er poenget, men tempoet. Calif sier de brukte KI til å finne feilen og skrive den første exploiten som kunne kjøre kode på telefonen på rundt to dager, og at ormen tok en uke til. Selskapets egen tidslinje er romsligere: ingeniørteamet kjente feilen 23. juli, den første Android-exploiten var ferdig 30. juli, og orm-demoen kom 11. august. Innlegget sier ikke om de korte tallene bare teller faktisk arbeidstid.

Skalaen forklarer hvorfor det betyr noe: Tencent oppga i kvartalstallene for andre kvartal at WeChat og Weixin til sammen hadde 1,439 milliarder månedlige brukere per 30. juni 2026. Zero-click-angrep mot meldingsapper er ikke nytt, men de har vært regnet som noe bare godt finansierte aktører får til. Klarer et sikkerhetsselskap å bygge et med KI-assistanse på dager, flytter det antakelsen om hvem som kan angripe kontolaget i appene du bygger mot.