Pesquisadores da empresa de segurança Calif criaram um worm que assume o controle de uma conta do WeChat por meio de uma chamada recebida e demonstraram sua propagação entre três telefones de teste.
A pessoa chamada não precisa atender nem tocar no celular para que o ataque funcione, mas o autor da chamada já precisa estar entre os contatos do WeChat da vítima. A Calif informou a falha à Tencent em julho e afirmou que a empresa bloqueou o exploit para todos os usuários desde então.
Nenhum ataque usando essa falha foi relatado, e a Calif não afirma que tenha havido algum. Ataques que não exigem nenhuma ação da vítima, conhecidos como ataques zero-click, não são novidade. No ano passado, o WhatsApp aplicou um patch para uma falha que, segundo a empresa, pode ter sido usada em ataques direcionados.
Atender à chamada não interrompe o ataque. Segundo a Calif, quem atende não ouve nada e o exploit continua funcionando. Recusar a chamada encerra aquela tentativa, mas o atacante pode ligar novamente mais tarde, por exemplo enquanto a vítima estiver dormindo.
O autor da chamada precisa estar na lista de contatos do WeChat da vítima. A Calif disse que isso não representa uma barreira relevante, porque, uma vez que um contato é comprometido, a confiança extra que o WeChat concede aos contatos passa a favorecer o atacante, e não o usuário.
Essa transferência de controle é a parte mostrada na demonstração. Um telefone Android ligou para um iPhone e assumiu o controle do WeChat enquanto o aparelho ainda tocava. O iPhone comprometido então ligou para um segundo telefone Android e o controlou da mesma forma.
A publicação da Calif descreve caminhos que um atacante poderia usar, e não apenas os que ela testou. Uma vez que o exploit é executado, os pesquisadores afirmaram que o atacante passa a ter controle total da conta do WeChat e pode ler e enviar mensagens, fazer chamadas e agir como se fosse o dono da conta. Por si só, isso não dá controle sobre o celular em si.
Para muitos usuários, essa conta não é apenas um aplicativo de mensagens. A descrição do WeChat na App Store inclui pagamentos, contas oficiais e mini programs dentro do app. A Tencent informou que o total combinado de usuários ativos mensais do WeChat e do Weixin chegou a 1,439 bilhão em 30/06/2026, segundo os resultados do segundo trimestre.
A Tencent lançou a versão 8.0.77 para Android e 8.0.76 para iOS em 21/08, segundo seu próprio registro de lançamentos. A Calif afirmou que essas versões reduziram o impacto da falha e que, em 28/08, confirmou que o exploit também havia sido bloqueado nos servidores da Tencent.
Os pesquisadores disseram que a Tencent “reduziu o impacto do nosso exploit para todos os usuários”. A empresa não publicou nenhum comunicado sobre a falha, e as notas de versão do iOS e a página do aplicativo na App Store descrevem a atualização apenas como correções de bugs.
Segundo a Calif, o bloqueio é feito nos servidores da Tencent, portanto não exige que os usuários instalem nada. Ainda assim, usar uma versão atual continua sendo a opção mais segura, e, em 08/09, a listagem mostrava a 8.0.76, lançada em 21/08, como a versão vigente.
Nem a Calif nem a Tencent divulgaram quais versões do WeChat foram afetadas, então o usuário não tem como verificar se a versão usada em julho ou agosto estava entre elas.
A Tencent também distribui clientes do WeChat para HarmonyOS, Windows, Mac e Linux em cronogramas próprios, e nenhuma das empresas informou se a falha alcançou alguma dessas plataformas.
A Calif está retendo os detalhes técnicos e pretende apresentar a análise completa em uma conferência. Até agora, não publicou nada que um defensor possa buscar, e não há como o usuário saber se foi chamado.
Verificações feitas em 08/09 não encontraram um identificador CVE para a falha nem um comunicado no site de resposta de segurança da Tencent, cuja última publicação listada era de abril de 2022.
A Calif afirmou que trabalhou com IA para encontrar o bug e escrever o primeiro exploit capaz de executar código no telefone em cerca de dois dias. Criar o worm levou mais uma semana, segundo a empresa.
A própria linha do tempo da empresa, porém, mostra intervalos maiores. A equipe de engenharia soube do bug em 23/07, o primeiro exploit para Android ficou pronto em 30/07 e a demonstração do worm ocorreu em 11/08. A publicação não diz se os números menores consideram apenas o tempo efetivamente trabalhado.
Achou esta matéria interessante? Siga-nos no Google News, Twitter e LinkedIn para ler mais conteúdos exclusivos que publicamos.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...