El gusano «Zero-Click» de WeChat se apoderó de cuentas de iPhone y Android a través de llamadas entrantes

Un grupo de in­ves­ti­ga­do­res de se­gu­ri­dad in­for­má­ti­ca di­se­ñó un gu­sano capaz de tomar el con­trol de cuen­tas de la apli­ca­ción de men­sa­je­ría me­dian­te lla­ma­das en­tran­tes, pro­pa­gán­do­se de forma au­to­má­ti­ca entre dis­po­si­ti­vos de prue­ba sin re­que­rir que la víc­ti­ma res­pon­da o in­ter­ac­túe con la pan­ta­lla. Para lle­var a cabo esta in­tru­sión sin clics, el emi­sor de la lla­ma­da debe fi­gu­rar pre­via­men­te entre los con­tac­tos de la per­so­na afec­ta­da, apro­ve­chan­do así la con­fian­za que la pla­ta­for­ma de­po­si­ta en dicha red de co­ne­xio­nes.

Du­ran­te la de­mos­tra­ción téc­ni­ca, un dis­po­si­ti­vo con sis­te­ma ope­ra­ti­vo An­dro­id logró com­pro­me­ter un iPho­ne que aún es­ta­ba so­nan­do, y este úl­ti­mo te­lé­fono afec­ta­do re­pi­tió el pro­ce­so con­tra otro dis­po­si­ti­vo An­dro­id de ma­ne­ra con­se­cu­ti­va. Una vez que el có­di­go ma­li­cio­so se eje­cu­ta, el ata­can­te ad­quie­re el con­trol total de la cuen­ta para en­viar o re­ci­bir men­sa­jes y rea­li­zar lla­ma­das, lo que re­sul­ta es­pe­cial­men­te pe­li­gro­so dado que la pla­ta­for­ma agru­pa fun­cio­nes de pagos, cuen­tas ofi­cia­les y pro­gra­mas adi­cio­na­les.

Tras re­ci­bir el re­por­te de la vul­ne­ra­bi­li­dad, los de­sa­rro­lla­do­res de la apli­ca­ción im­ple­men­ta­ron blo­queos en sus ser­vi­do­res y lan­za­ron ac­tua­li­za­cio­nes para mi­ti­gar el fallo, de modo que los usua­rios no ne­ce­si­tan rea­li­zar ins­ta­la­cio­nes ma­nua­les para que­dar pro­te­gi­dos. No obs­tan­te, los es­pe­cia­lis­tas de­ci­die­ron re­ser­var los de­ta­lles téc­ni­cos de la in­ves­ti­ga­ción para pre­sen­tar­los en una con­fe­ren­cia pos­te­rior y se­ña­la­ron que em­plea­ron in­te­li­gen­cia ar­ti­fi­cial tanto para la de­tec­ción de la falla como para el de­sa­rro­llo ini­cial del có­di­go de ata­que.