Una vulnerabilidad en WeChat permitía secuestrar cuentas con llamadas entrantes, incluso si la persona que recibía la comunicación no contestaba. La empresa de seguridad Calif, con sede en Palo Alto, California, creó un gusano autorreplicante para demostrar el alcance de la falla, que ya fue mitigada por Tencent.
El ataque se apoyaba en una falla de corrupción de memoria dentro de la pila de voz sobre IP de la aplicación. Calif sostuvo que una llamada podía activar el método de intrusión sin que el destinatario realizara ninguna acción, salvo rechazarla durante los primeros segundos en que sonaba.
PUBLICIDAD
Vulnerabilidad de WeChat permitía tomar cuentas mediante llamadas
La falla identificada por Calif afectaba al sistema con el que WeChat procesa las llamadas de voz sobre IP. Los investigadores lograron convertir ese error de corrupción de memoria en un método inicial de ejecución remota de código, capaz de operar a distancia sobre la cuenta objetivo.
Una vulnerabilidad de WeChat permitía el secuestro de una cuenta mediante una llamada entrante porque el fallo se activaba antes de que el usuario respondiera. Según Calif, la única forma de frustrar el ataque era rechazar la comunicación durante los primeros segundos del tono de llamada.
El procedimiento no dependía de que la víctima hablara con quien llamaba, aprobara una solicitud, abriera un archivo ni pulsara un enlace. La llamada era el elemento necesario para intentar comprometer la cuenta, tanto si el usuario atendía como si dejaba sonar el teléfono.
PUBLICIDAD
Calif indicó que el intervalo disponible para impedir el resultado era reducido. Si la persona rechazaba la llamada dentro de los segundos iniciales, el método no tenía éxito. Si no lo hacía, el fallo podía abrir la puerta al control de la cuenta asociada a ese número.
La empresa bautizó WeWorm al programa creado a partir de esa vulnerabilidad. Su diseño buscaba mostrar cómo un error en la función de llamadas podía transformarse en un ataque que no quedara limitado a un solo usuario, sino que avanzara hacia otros contactos.
Cómo funcionaba WeWorm para propagarse entre contactos
WeWorm era un gusano autorreplicante. Tras tomar el control de una cuenta de WeChat, el programa llamaba a números presentes en la lista de contactos de la víctima para repetir el mismo intento de intrusión.
PUBLICIDAD
La propagación partía de una característica de la plataforma: WeChat concede un nivel elevado de confianza a los números telefónicos que una cuenta tiene almacenados. Calif sostuvo que esa decisión de diseño ofrecía al gusano una vía para extender el alcance del ataque.
Una vez comprometida una cuenta, los contactos de esa persona podían recibir llamadas desde un número que figuraba guardado en su agenda. La relación previa entre ambos números formaba parte del mecanismo que WeWorm aprovechaba para avanzar de una víctima a otra.
El gusano no requería que el propietario de la cuenta ya comprometida participara en la siguiente fase. Después de obtener el control, podía usar la lista de contactos para marcar otros números y tratar de reproducir la intrusión a través de nuevas llamadas entrantes.
PUBLICIDAD
La capacidad de llamar desde cuentas tomadas era el rasgo que diferenciaba a WeWorm de una intrusión aislada. El programa estaba concebido para multiplicar los objetivos a partir de las conexiones que cada usuario ya mantenía dentro de WeChat.
Calif presentó el caso como una combinación entre la falla técnica de voz sobre IP y la confianza asignada por la aplicación a los números guardados. El error permitía el acceso inicial; la estructura de contactos facilitaba que el ataque continuara desde una cuenta ya tomada.
Inteligencia artificial aceleró la creación del ataque
Los investigadores de Calif trabajaron con inteligencia artificial durante la detección de la vulnerabilidad y el desarrollo del método inicial para aprovecharla. La empresa afirmó que ese primer tramo de la investigación demandó aproximadamente dos días.
PUBLICIDAD
En ese plazo, el equipo localizó el problema de corrupción de memoria y produjo un mecanismo de ejecución remota de código. Luego dedicó una semana adicional a construir el gusano completo que podía replicarse mediante las llamadas a los contactos de una cuenta afectada.
Dos días para el acceso remoto y una semana más para el gusano fueron los tiempos informados por Calif. La compañía señaló que utilizó una combinación de modelos de inteligencia artificial de código abierto y modelos comerciales líderes.
La empresa no precisó cuáles fueron los modelos empleados. La falta de esa identificación impide conocer qué herramientas concretas participaron en cada etapa, desde la búsqueda de la falla hasta la preparación del código que permitió la propagación del programa.
PUBLICIDAD
Thai Duong, director ejecutivo de Calif, explicó a The New York Times que un proyecto de esa dimensión habría necesitado antes un equipo más amplio y varios meses de trabajo. Su planteo vinculó la reducción de esos plazos con la asistencia brindada por la inteligencia artificial.
La información divulgada por Calif no atribuye a la IA una actuación autónoma. La compañía describió un trabajo conjunto entre sus investigadores y esos modelos para localizar la vulnerabilidad, desarrollar el acceso remoto y construir WeWorm.
El riesgo de control total en Android e iOS
El secuestro de la cuenta no era el único escenario considerado por Calif. La empresa afirmó que el ataque podía combinarse con vulnerabilidades distintas presentes en Android e iOS, lo que elevaría el alcance de la intrusión.
PUBLICIDAD
Según la compañía, esas fallas separadas podían llevar al control total del dispositivo de la persona afectada. El gusano de WeChat funcionaba como una puerta de entrada vinculada a la cuenta, mientras que los problemas en los sistemas operativos podían ampliar las capacidades sobre el teléfono.
Calif afirmó que había informado esas vulnerabilidades adicionales y que colaboraba para corregirlas. El texto no detalla la naturaleza de los errores detectados en Android e iOS ni especifica qué funciones del dispositivo quedarían expuestas en cada caso.
La empresa evitó divulgar las características técnicas del error de WeChat y de su mecanismo de explotación. Esa reserva reduce la información disponible sobre la secuencia concreta del ataque, pero no modifica el alcance que describió para la cuenta y el dispositivo.
Calif reservará el análisis técnico de la falla de WeChat
Calif decidió retener los detalles técnicos de la vulnerabilidad. La compañía adelantó que presentará un análisis completo durante una próxima conferencia, sin identificar la fecha ni el encuentro en el que expondrá sus hallazgos.
La información divulgada permite conocer el tipo de falla, el modo general de propagación y los plazos de desarrollo, pero no revela los pasos técnicos necesarios para reproducir el ataque. Tampoco incluye las características del código utilizado por WeWorm.
La empresa confirmó que recurrió tanto a modelos de código abierto como a modelos comerciales líderes durante la investigación. Calif se negó a especificar cuáles fueron los sistemas de inteligencia artificial que utilizó.
PUBLICIDAD