Ti hanno chiamato su WeChat e ti hanno hackerato senza risposta

Una vulnerabilità nel sistema VoIP di WeChat permetteva di prendere il controllo di un account attraverso una semplice chiamata in arrivo, senza che la vittima rispondesse. Dopo la compromissione, il worm poteva chiamare altri contatti e propagarsi. Tencent ha corretto la falla. L’attacco è stato sviluppato anche con l’aiuto dell’IA.

Non è solo WhatsApp s offrire di RCE full chain 0-click. Questa volta i ricercatori di Calif hanno scoperto WeWorm, che permette di compromettere account WeChat tramite una semplice chiamata in arrivo. La vittima non doveva nemmeno rispondere alla chiamata, e dopo la compromissione il worm poteva autonomamente chiamare altri contatti e diffondersi ulteriormente. Gli sviluppatori di Tencent comunicano di aver già corretto la vulnerabilità per tutti gli utenti.

Gli esperti spiegano che per realizzare l’attacco era necessario soddisfare una sola condizione: il chiamante doveva essere nella lista dei contatti WeChat della vittima. Tuttavia, dopo il primo attacco riuscito, questa limitazione non ostacolava più la diffusione del worm. Dopo aver compromesso un account, il malware poteva chiamare autonomamente altre persone nella lista dei contatti, poiché l’utente compromesso era già stato aggiunto ai contatti WeChat.

Questa catena di eventi è stata dimostrata dagli esperti nel video, dove uno smartphone Android effettua una chiamata a un iPhone di destinazione e compromette l’account WeChat mentre il dispositivo continua a squillare. Successivamente, l’iPhone compromesso attacca un secondo dispositivo Android nello stesso modo.

I ricercatori sottolineano che rispondere alla chiamata malevola non salvava dalla compromissione. Rifiutare una tale chiamata fermava il tentativo di attacco, ma l’attaccante poteva semplicemente richiamare in un altro momento, ad esempio quando la vittima dormiva.

Dopo un attacco riuscito, l’attaccante otteneva il pieno controllo dell’account WeChat della vittima: poteva leggere e inviare messaggi, effettuare chiamate e agire a nome dell’utente. Si riporta che l’attacco non comprometteva lo smartphone nel suo insieme.

Alla base di questo attacco c’era una vulnerabilità legata al danneggiamento della memoria nello stack VoIP di WeChat, responsabile dell’elaborazione delle chiamate vocali. I ricercatori hanno scoperto che il problema poteva portare all’esecuzione remota di codice arbitrario, attraverso una chiamata in arrivo e senza richiedere alcuna azione da parte della vittima. 

Gli esperti hanno testato il loro attacco contro WeChat 8.0.76 per Android e 8.0.75 per iOS. Gli esperimenti sono stati condotti su iOS 26.6 e diverse versioni più vecchie di Android. Tuttavia, l’elenco completo delle versioni di WeChat vulnerabili non è noto, e non viene specificato se il problema interessava i client WeChat per HarmonyOS, Windows, macOS e Linux.

Curiosamente, i ricercatori sono stati facilitati dall’IA: in Calif hanno creato un set di competenze che guidavano il modello nella ricerca di vulnerabilità nei messenger. Secondo gli esperti, per rilevare il problema e creare il primo exploit con esecuzione del codice sono serviti solo circa due giorni, mentre per lo sviluppo del worm è stata necessaria un’altra settimana.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response