Vulnerabilità in WeChat: il worm WeWorm sfrutta le chiamate per compromettere gli account

Un team di ricercatori del gruppo Calif ha recentemente scoperto una grave vulnerabilità di memoria nella pila VoIP di WeChat, un’applicazione utilizzata da circa 1,4 miliardi di persone in tutto il mondo. Questa falla consente a un attaccante di prendere il controllo degli account senza alcuna interazione da parte della vittima. Per dimostrare la vulnerabilità, è stato sviluppato un worm chiamato WeWorm, capace di diffondersi attraverso le chiamate effettuate con l’applicazione.

Il funzionamento del worm è inquietante: basta che il dispositivo della vittima inizi a squillare per attivare l’attacco, senza che la persona debba rispondere. Questo rende il worm particolarmente insidioso, poiché può compromettere gli account anche senza che l’utente ne sia consapevole.

La vulnerabilità, di tipo memory corruption, è stata segnalata responsabilmente agli sviluppatori di WeChat, che hanno rilasciato aggiornamenti di sicurezza per le versioni 8.0.77 su Android e 8.0.76 su iOS. Tuttavia, le note di rilascio non forniscono dettagli tecnici e l’operatore ha comunicato che la mitigazione è stata applicata anche lato server. È importante notare che le versioni dell’app per altri sistemi operativi, come HarmonyOS, Windows, Mac e Linux, non sono state testate dai ricercatori e non sono incluse nella correzione.

Perché questa vulnerabilità è così preoccupante? L’attacco richiede che l’attaccante sia presente nella rubrica della vittima e funziona su dispositivi Android e iOS, indipendentemente dal modello. Se la vittima risponde alla chiamata, sentirà solo silenzio, ma l’attacco continua. Se invece rifiuta la chiamata, l’attacco si interrompe, ma può essere ripetuto in un secondo momento. Entro pochi secondi, l’attaccante può ottenere accesso ai messaggi, alla rubrica e ad altre risorse dell’app.

Nonostante WeChat consenta trasferimenti di denaro tramite WeChat Pay, le misure di autenticazione e i controlli di rischio aggiuntivi riducono la possibilità di operazioni finanziarie immediate a seguito della compromissione. Finora, non ci sono evidenze che suggeriscano l’utilizzo della vulnerabilità in attacchi reali.

I ricercatori hanno dichiarato che continueranno a investigare superfici di attacco simili su altre applicazioni e promettono di condividere ulteriori dettagli tecnici in futuro. La scoperta di WeWorm è un chiaro monito sulla necessità di una maggiore attenzione alla sicurezza delle applicazioni di messaggistica, che sono sempre più utilizzate per comunicazioni sensibili e transazioni finanziarie.