Vulnerabilità di WeChat: scoperte un worm zero-click che minaccia gli utenti

Un team di ricercatori del gruppo Calif ha recentemente identificato una vulnerabilità critica nella pila VoIP dell’applicazione WeChat, utilizzata da circa 1,4 miliardi di persone in tutto il mondo. Questa falla consente a un attaccante di prendere il controllo degli account senza alcuna interazione da parte della vittima, utilizzando un worm denominato WeWorm, capace di diffondersi tramite chiamate effettuate con l’app.

La vulnerabilità, di tipo memory corruption, si attiva semplicemente quando il dispositivo della vittima riceve una chiamata. Non è necessario che la vittima risponda; basta che il telefono inizi a squillare per consentire all’attaccante di accedere ai messaggi, alla rubrica e ad altre risorse dell’app. Questo metodo di attacco richiede che l’attaccante sia presente nella rubrica della vittima e può colpire sia dispositivi Android che iOS, indipendentemente dal modello.

In caso di risposta alla chiamata, la vittima sentirà solo silenzio, mentre l’attacco continua in background. Se la chiamata viene rifiutata, l’attacco si interrompe, ma può essere ripetuto in seguito. I ricercatori hanno sottolineato che, sebbene WeChat consenta trasferimenti di denaro tramite WeChat Pay, l’applicazione dispone di misure di autenticazione e controlli di rischio che limitano la possibilità di operazioni finanziarie immediate a seguito di una compromissione.

Fino ad oggi, non ci sono evidenze che questa vulnerabilità sia stata sfruttata in attacchi reali. Tuttavia, la scoperta ha sollevato preoccupazioni significative riguardo alla sicurezza degli utenti di WeChat. I ricercatori hanno scelto di non divulgare dettagli tecnici al momento, pianificando di presentarli in una conferenza futura. Hanno anche dichiarato che continueranno a investigare su superfici di attacco simili in altre applicazioni.

In risposta a questa scoperta, il gestore di WeChat ha rilasciato aggiornamenti per le versioni dell’app, identificati come 8.0.77 per Android e 8.0.76 per iOS. Le note di rilascio non forniscono dettagli tecnici, ma l’operatore ha comunicato che la mitigazione della vulnerabilità è stata applicata anche lato server. Tuttavia, le versioni dell’app per altri sistemi operativi, come HarmonyOS, Windows, Mac e Linux, non sono state testate dai ricercatori e non sono incluse nella correzione comunicata.

Il team di ricerca ha promesso di condividere ulteriori aggiornamenti e dettagli tecnici non appena saranno disponibili, sottolineando l’importanza di mantenere alta l’attenzione sulla sicurezza delle applicazioni di messaggistica e comunicazione.