Исследователи показали червя для WeChat, заражающего аккаунты через входящий звонок
По данным компании Calif, уязвимость позволяла захватить аккаунт WeChat на iPhone или Android без действий со стороны жертвы. Tencent, как утверждают исследователи, уже заблокировала этот способ атаки на своих серверах.
Специалисты по безопасности из Calif продемонстрировали червя для WeChat, который мог получать контроль над аккаунтом через входящий звонок. Пользователю не требовалось отвечать на вызов или взаимодействовать с телефоном: атака срабатывала, пока устройство звонило. В Calif заявили, что сообщили Tencent об уязвимости в июле, а затем подтвердили блокировку своего эксплойта для всех пользователей.
Для атаки звонящий уже должен был присутствовать в списке контактов жертвы в WeChat. По версии исследователей, после компрометации одного аккаунта это ограничение перестаёт быть серьёзным препятствием: захваченный профиль может звонить его контактам и распространять атаку дальше. В демонстрации Android-смартфон позвонил на iPhone и получил доступ к его аккаунту, после чего скомпрометированный iPhone таким же образом атаковал второй Android-смартфон.
Получение звонка не прекращало атаку и в случае, если пользователь отвечал на вызов: в таком случае он, по описанию Calif, ничего не слышал. Отклонённый звонок завершал конкретную попытку, но злоумышленник мог повторить её позднее.
После успешной эксплуатации атакующий получал полный контроль над аккаунтом WeChat: мог читать и отправлять сообщения, звонить и действовать от имени владельца профиля. Само по себе это не давало доступа к устройству целиком. Однако WeChat используется не только для переписки: в приложении доступны платежи, официальные аккаунты и мини-программы.
Calif сообщила, что Android-версия WeChat 8.0.77 и iOS-версия 8.0.76, выпущенные 21 августа, смягчили проблему, а 28 августа исследователи подтвердили серверную блокировку эксплойта. Если защита действительно действует на стороне Tencent, пользователям не требуется устанавливать обновление именно для блокировки этой атаки; при этом использование актуальной версии приложения остаётся более безопасным вариантом.
Tencent публично не выпускала бюллетень об этой уязвимости. В заметках к обновлению iOS-версии указаны лишь исправления ошибок. Компании также не раскрыли, какие версии WeChat были подвержены проблеме и затрагивала ли она клиенты для HarmonyOS, Windows, macOS и Linux. На 8 сентября для уязвимости не было идентификатора CVE.
Данных об атаках с использованием этой ошибки нет: по данным The Hacker News, о таких атаках не сообщалось, а Calif не заявляла о реальных инцидентах. Технические подробности исследователи пока не раскрывают и планируют представить полный разбор на конференции.