WeWorm: WeChatを介して拡散する初のゼロクリックワーム
WeWorm: Zero-Click WeChat Worm
Califは、WeChatの通話を通じてiOSとAndroid間で拡散する初のゼロクリックワーム「WeWorm」のデモを公開しました。このワームは、被害者が通話に応答したり、電話を操作したりする必要がなく、攻撃者が被害者のWeChatアカウントを乗っ取り、そのアカウントから友人に拡散することが可能です。攻撃者は、被害者の友人リストにいることで、または他のアプリの脆弱性を悪用して被害者のWeChatアプリを乗っ取ることで、攻撃を開始できます。この脆弱性はWeChatのVoIPスタックにおけるメモリ破損の問題であり、AIの助けを借りて2日間で見つかり、1週間でワームデモが完成しました。Califは7月にこのバグをTencentに報告し、8月21日にリリースされたWeChatのアップデート(Android 8.0.77およびiOS 8.0.76)で修正されました。この発見は、AIが高度な攻撃能力をより多くの人々に提供するリスクと、AIを活用して脆弱性を迅速に発見・修正できる可能性の両方を示しています。
- セキュリティ研究者Califが、WeChatの通話経由でiOS/Android間に拡散する初のゼロクリックワーム「WeWorm」のデモを公開。被害者は通話応答や端末操作が不要で、攻撃者がアカウントを乗っ取り友人へ拡散できる。
- 原因はWeChatのVoIPスタックにおけるメモリ破損脆弱性で、AI支援により2日間で発見、1週間でワームのデモを完成。
- Califは7月に脆弱性をTencentへ報告し、8月21日リリースのWeChatアップデート(Android 8.0.77、iOS 8.0.76)で修正された。
WeChatのVoIPスタックに存在したメモリ破損脆弱性を悪用し、通話応答すら不要でアカウントを乗っ取って拡散するゼロクリックワームの実証例。注目点は、AIが数百万人の鑑定眼なしに高度攻撃を民主化するリスクを現実に示したことと、裏返しとして既存巨大プラットフォームの脆弱性発見・修正サイクルを大幅に短縮できることの両面。Tencentの8月のパッチ適用済みだが、メッセージング/通話基盤を持つサービス事業者にとって、AI時代の脆弱性開示・パッチ対応速度が実質的なリスク管理指標になりつつあることを示唆する。セキュリティ診断・AIによる脆弱性自動発見ツールへの投資テーマを後押しする材料。