Tencent corrigió una vulnerabilidad crítica en WeChat llamada WeWorm, que permitía crear un gusano capaz de tomar el control de cuentas mediante llamadas sin interacción del usuario. El fallo, descubierto con ayuda de IA, afectaba a iOS y Android, permitiendo leer mensajes y realizar llamadas en nombre de la víctima. Otros titulares destacan el cierre de Microsoft Publisher y Project Online, y que Suiza prueba alternativas libres a Microsoft 365.

Tencent ha parcheado una vulnerabilidad zero-click que investigadores de seguridad utilizaron para crear un gusano capaz de propagarse a través de llamadas en WeChat.

Con más de 1.400 millones de usuarios activos mensuales, WeChat se encuentra entre las aplicaciones más populares del mundo. Según investigadores de Calif, su pila de VoIP contenía un error de corrupción de memoria que podría permitir que un contacto de confianza tomara el control de la cuenta de un usuario simplemente llamándolo.

Calif llamó al fallo WeWorm, describiéndolo como el primer gusano zero-click capaz de propagarse a través de llamadas de WeChat tanto en iOS como en Android.

Calif publicó una demostración de la vulnerabilidad en acción esta semana y, aunque Tencent lanzó correcciones para abordar el ataque el 21 de agosto, el equipo que lo descubrió aún mantiene reservados detalles clave.

En la demostración de Calif, el exploit tomaba el control de la cuenta de WeChat de una víctima en segundos, sin que el destinatario respondiera la llamada. La cuenta comprometida llamaba entonces a otro contacto y repetía el proceso sin interacción del usuario.

Rechazar la llamada detenía la infección, pero responderla o dejar que siguiera sonando no lo hacía. Los investigadores señalaron que un atacante también podría intentarlo de nuevo cuando el destinatario estuviera lejos del teléfono.

"La explotación solo toma segundos y nos da control total de la cuenta de WeChat", afirmó Calif [https://calif.io/research/weworm]. "Podemos leer y enviar mensajes, hacer llamadas y actuar en nombre de la víctima".

El exploit requiere que el atacante esté en la lista de amigos de la víctima. Calif argumentó que esto ofrecía una protección limitada porque una cuenta comprometida podría usarse para atacar a sus contactos de confianza.

Calif afirmó que el exploit WeWorm podría encadenarse con otras vulnerabilidades para comprometer un dispositivo completo en lugar de solo una cuenta de WeChat. No reveló la cadena de ataque completa.

"Encadenado con otros errores de Android e iOS que hemos reportado y ayudado a solucionar, puede conducir al control total del dispositivo", señalaron los investigadores.

"[Los atacantes] podrían explotar otra aplicación, obtener acceso root utilizando técnicas como las de OEMpocalypse [https://calif.io/research/oempocalypse], apoderarse de la aplicación WeChat de la víctima y usarla para atacarte".

Calif dijo que utilizó IA para encontrar la vulnerabilidad y desarrollar su primer exploit de ejecución remota de código (RCE) en aproximadamente dos días. Tencent confirmó posteriormente los hallazgos de los investigadores.

Los investigadores dijeron que publicaron sus conclusiones de alto nivel para resaltar cómo la IA podría poner tales capacidades al alcance de actores que no sean necesariamente "sofisticados y bien financiados".

Calif planea presentar el análisis completo de WeWorm "en una próxima conferencia".

Ryan Fedasiuk, profesor adjunto asistente en el Programa de Estudios de Seguridad de la Universidad de Georgetown, describió [el descubrimiento de WeWorm] como "un incidente extremadamente serio".

Hizo un llamado a Estados Unidos y China para mantener una comunicación abierta y compartir información a medida que la IA aumenta la escala y severidad potencial de las ciberamenazas.

Fuente:
TheRegister