Звонок, который крадёт аккаунт

Исследователи безопасности обнаружили в WeChat уязвимость, которая позволяла злоумышленникам получить контроль над аккаунтами пользователей Android и iOS. Особую опасность представлял так называемый zero-click-эксплойт — атака, для которой жертве не нужно нажимать кнопки, открывать файлы или вообще что-либо делать.

WeChat — китайское суперприложение, которым, по оценкам, пользуются около 1,4 млрд человек. Оно начиналось как мессенджер для текстовых сообщений и голосовых и видеозвонков, но со временем превратилось в социальную сеть и платёжный сервис. Через него можно обмениваться фото и видео, переводить деньги, оплачивать покупки, заказывать еду и такси, а также получать отдельные государственные и коммерческие услуги.

Исследователи компании Calif сообщили об ошибке повреждения памяти в VoIP-компоненте WeChat — части приложения, отвечающей за голосовые звонки через интернет. Технические подробности пока не раскрываются: специалисты собираются представить их на конференции. Чтобы продемонстрировать проблему, они создали WeWorm — вредоносный червь, способный захватывать аккаунты и распространяться через звонки внутри WeChat.

Сценарий атаки выглядел почти неприлично простым. Злоумышленнику нужно было позвонить жертве через WeChat, причём пользователь должен находиться в его списке контактов. Атаку можно было запустить как с Android, так и с iPhone; модель устройства и операционная система получателя значения не имели.

После начала входящего вызова WeWorm начинал работать. Отвечать на звонок было не нужно: самого факта звонка хватало. Если пользователь поднимал трубку, он слышал тишину, но вредоносный код продолжал действовать. При отклонении вызова атака прекращалась, однако это не было надёжной защитой — злоумышленник мог повторить попытку, например ночью, когда телефон лежит без присмотра.

Через несколько секунд атакующий мог получить доступ к аккаунту WeChat, включая переписку, список контактов и практически все данные, доступные внутри приложения. Теоретически это создавало риск злоупотреблений с платежами, поскольку WeChat используется для переводов и покупок. Однако WeChat Pay применяет дополнительные проверки личности и системы оценки риска, призванные блокировать подобные операции.

На данный момент нет свидетельств, что уязвимость использовали в реальных атаках. Тем не менее zero-click-ошибки уже неоднократно находили в современных смартфонах и приложениях, поэтому эта история вряд ли станет последней.

Calif сообщила о проблеме материнской компании WeChat — Tencent — в рамках ответственного раскрытия. Tencent выпустила исправления: версию 8.0.77 для Android и 8.0.76 для iOS. В официальных примечаниях к обновлению подробностей не было, указаны лишь «исправления ошибок». Позднее компания заявила, что уязвимость устранена для всех пользователей на стороне сервера; при этом устанавливать отдельное обновление, помимо обычного патча, не требовалось.

У WeChat также есть версии для HarmonyOS, Windows, macOS и Linux. Исследователи, судя по опубликованным данным, их не проверяли, а Tencent не упоминала эти платформы среди затронутых обновлением. Calif планирует изучать аналогичные проблемы в других приложениях и типах атак.

По словам специалистов, уязвимость WeChat показывает, что мессенджеры имеют множество нестандартных точек атаки. Для их защиты потребуется совместная работа разработчиков приложений и владельцев платформ, а также изменения на уровне всей отрасли. Технические детали исследования обещают обнародовать позже.