El gusano «Zero-Click» de WeChat se apoderó de cuentas de iPhone y Android a través de llamadas entrantes

Especialistas de la empresa de seguridad Calif crearon un gusano capaz de tomar el control de una cuenta de WeChat a través de una llamada entrante, logrando propagarse entre dispositivos de prueba. Este tipo de ataque de tipo cero clics no requiere que la víctima responda ni interactúe con el dispositivo para que funcione, aunque el emisor de la llamada necesita figurar previamente entre los contactos de la plataforma de la persona afectada. Rechazar la llamada frena el intento actual, pero no impide que el agresor vuelva a intentarlo en otro momento, mientras que contestar tampoco detiene la ejecución maliciosa.

Una vez que se ejecuta esta vulnerabilidad, el atacante obtiene el manejo total de la cuenta de WeChat, lo que le permite enviar y recibir mensajes, realizar llamadas y suplantar al dueño, aunque esto no otorga dominio sobre el dispositivo telefónico en sí. Dado que la aplicación funciona también como plataforma para pagos, cuentas oficiales y miniprogramas, el impacto compromete mucho más que un simple servicio de mensajería. La empresa creadora de la app bloqueó la brecha para todos los usuarios mediante modificaciones en sus servidores, de modo que no se exige una instalación manual por parte de los usuarios, aunque las firmas responsables lanzaron actualizaciones recientes para Android e iOS.