La IA tardó dos días en crear el gusano que vacía cuentas de WeChat con una llamada

WeWorm es un gusano de cero clics —es decir, compromete un dispositivo sin que la persona que lo tiene haga nada—. El ataque llega como una llamada entrante de WeChat. La víctima no tiene que contestar; el exploit se dispara durante la fase de timbre, en el intervalo entre que el teléfono notifica al usuario y este la rechaza o la contesta.

La vulnerabilidad está en la pila VoIP de WeChat, el código encargado de gestionar las llamadas. Un fallo de corrupción de memoria en ese código permitió a los investigadores de seguridad de Calif ejecutar comandos arbitrarios en un dispositivo remoto. Una vez activo, el gusano lee y envía mensajes, hace llamadas y se hace pasar por el dueño de la cuenta; luego llama a los contactos de esa persona y repite la cadena.

Lo que importa más allá del fallo en sí es la velocidad. Trabajando con IA, el equipo de Calif localizó la vulnerabilidad y escribió el primer exploit funcional de ejecución remota de código en unos dos días. Armar el gusano completo tomó otra semana. Ese total de diez días, de cero a arma desplegable, habría sido un logro significativo para un equipo con muchos recursos hace unos años. Los investigadores señalan que las herramientas de IA bajan el listón de lo que un equipo pequeño puede desarrollar, y ponen esta clase de trabajo al alcance de actores que antes no habrían tenido la experiencia necesaria.

Lectura recomendadaUn escaneo a 380.000 apps hechas con IA encontró miles sin ningún tipo de protección

El alcance es enorme. WeChat tiene más de mil millones de usuarios, concentrados en China pero presentes en todo el mundo a través de comunidades de habla china y de una base instalada a nivel internacional. En una demostración de laboratorio, un dispositivo Android comprometido infectó un iPhone, que a su vez infectó un segundo Android. Al moverse por las listas de contactos —los usuarios de WeChat suelen tener cientos—, los investigadores calculan que, en teoría, se podría llegar a millones de dispositivos en cuestión de horas.

Hay límites reales. El ataque exige que el atacante inicial ya aparezca en la lista de contactos de la víctima, o que primero comprometa a alguien que sí aparezca. El gusano da control sobre la cuenta de WeChat, no sobre el teléfono en sí; aunque los investigadores de Calif señalan que, al encadenarlo con vulnerabilidades adicionales, lograron tomar el control total del dispositivo en sus pruebas de laboratorio. Tencent dice que no encontró evidencia de que el fallo fuera explotado en el mundo real antes de que llegara el parche.

Tencent recibió la divulgación de Calif el 24 de julio. Las versiones parcheadas aparecieron el 21 de agosto: Android 8.0.77 e iOS 8.0.76. Una mitigación del lado del servidor, confirmada el 28 de agosto, hace que los usuarios que no han actualizado sigan protegidos a nivel de red. Los usuarios de WeChat en cualquier versión actual no tienen ningún riesgo residual. No se ha publicado ningún número CVE ni un aviso de seguridad formal de Tencent.

Calif planea una divulgación técnica más completa cuando avancen las mitigaciones en toda la industria, y se espera una presentación en una conferencia. Lo que la investigación hace tangible es la cronología: para esta clase de vulnerabilidad en una aplicación de mensajería muy utilizada, un equipo asistido por IA convirtió el descubrimiento en un gusano desplegable en unos diez días.

Etiquetas: ciberseguridad, seguridad IA, Calif, exploit zero-click, Tencent, WeChat

Contenido similar

Una falla de inicio de sesión dejó 70 millones de webs de cPanel abiertas para cualquiera

Apple queda sin recursos legales en Europa: el tribunal rechaza sus tres impugnaciones al DMA

Tu celular o tu router pudo ser uno de los 17 millones de equipos alquilados en secreto

128 paises acuerdan reglas sobre robots asesinos, pero las potencias clave se quedan afuera

Un joven pudo cambiar las calificaciones de cualquier alumno en el portal de exámenes de India

La Corte Suprema limita cómo la policía puede rastrear tu celular por Google