Червь на проводе: WeChat может «заразиться» от одного входящего звонка
Исследователи из компании Calif разработали червя WeWorm, который позволяет захватывать аккаунты WeChat через обычный входящий звонок. Руководитель группы аналитики L1 GSOC компании «Газинформсервис» Андрей Жданухин отметил, что это показывает, насколько опасными становятся уязвимости в коммуникационных функциях, если для их эксплуатации вообще не требуется действие пользователя. По его словам, атака напоминает ранние zero-click-реализации через почтовые клиенты при помощи уведомлений.
«В данном случае повреждение памяти в VoIP-стеке позволяло выполнить произвольный код уже во время входящего звонка — достаточно было находиться в контактах жертвы. После захвата аккаунта вредонос мог самостоятельно обзванивать других пользователей и продолжать цепочку заражения, фактически превращая доверенную социальную сеть контактов в механизм распространения атаки», — отметил эксперт.
Жертве не нужно отвечать на вызов, переходить по ссылкам или открывать файлы — достаточно, чтобы звонящий находился в списке контактов. После компрометации червь самостоятельно продолжает цепочку заражения.
Как пояснил Андрей Жданухин, речь идёт не только о переписке: скомпрометированный аккаунт позволяет действовать от имени пользователя, а в экосистеме WeChat присутствуют финансовые инструменты, официальные аккаунты и мини-приложения.
По словам эксперта, для GSOC компании «Газинформсервис» подобные сценарии интересны прежде всего с точки зрения выявления аномального поведения уже скомпрометированных учётных записей. «Сам факт эксплуатации мобильной уязвимости может оставаться незаметным для классического мониторинга, поэтому полезно искать последствия компрометации: резкое изменение модели коммуникаций, массовые исходящие сообщения или звонки, необычную активность аккаунта, появление новых устройств и нетипичные сетевые соединения», — пояснил руководитель группы аналитики L1 GSOC.
Добавим, что разработчики Tencent сообщили, что уже исправили уязвимость для всех пользователей.
А более подробно об актуальных вопросах кибербезопасности можно узнать на ежегодном форуме GISDAYS 2026 (Global Information Security Days*), который компания «Газинформсервис» проведёт уже в девятый раз с 30 сентября по 2 октября в Санкт-Петербурге и Москве.
*Global Information Security Days (GISDAYS) — дни глобальной информационной безопасности
