KI baute WeChat-Wurm in zwei Tagen — ein unbeantworteter Anruf reichte aus

WeWorm ist ein Zero-Click-Wurm – das bedeutet, er kompromittiert ein Gerät, ohne dass der Besitzer irgendeine Aktion ausführen muss. Der Angriff erfolgt in Form eines eingehenden WeChat-Anrufs. Das Ziel muss nicht abheben; der Exploit wird während der Klingelphase ausgelöst, in der Lücke zwischen der Benachrichtigung des Telefons und dem Ablehnen oder Annehmen durch den Nutzer.

Die Sicherheitslücke befindet sich im VoIP-Stack von WeChat, dem Code, der für die Verwaltung von Anrufen zuständig ist. Ein Speicherfehler in diesem Code ermöglichte es Sicherheitsforschern von Calif, beliebige Befehle auf einem entfernten Gerät auszuführen. Ist der Wurm erst einmal aktiv, liest und sendet er Nachrichten, tätigt Anrufe und gibt sich als Kontoinhaber aus – und wählt dann die Kontakte dieser Person an, wodurch die Kette fortgesetzt wird.

Was über den Fehler selbst hinaus zählt, ist die Geschwindigkeit. Mit Hilfe von KI lokalisierte das Team von Calif die Sicherheitslücke und schrieb den ersten funktionsfähigen Exploit zur Remote-Code-Ausführung in etwa zwei Tagen. Der Zusammenbau des vollständigen Wurms dauerte eine weitere Woche. Diese zehn Tage von der leeren Tafel bis zur einsatzbereiten Waffe wären noch vor einigen Jahren eine beachtliche Leistung für ein gut ausgestattetes Team gewesen. Die Forscher geben an, dass KI-Tools die Hürde für das, was ein kleines Team entwickeln kann, senken und diese Art von Arbeit für Akteure zugänglich machen, denen zuvor das nötige Fachwissen fehlte.

Die Reichweite ist groß. WeChat hat über eine Milliarde Nutzer, konzentriert in China, aber weltweit präsent durch chinesischsprachige Gemeinschaften und die internationale Installation. In einer Labordemonstration infizierte ein kompromittiertes Android-Gerät ein iPhone, das dann ein zweites Android infizierte. Über die Kontaktlisten – WeChat-Nutzer haben typischerweise Hunderte von Kontakten – schätzen die Forscher, dass theoretisch Millionen von Geräten innerhalb von Stunden erreicht werden könnten.

Es gibt reale Grenzen. Der Angriff setzt voraus, dass der ursprüngliche Angreifer bereits in der Kontaktliste des Ziels erscheint oder dass er zuerst jemanden kompromittiert, der dies tut. Der Wurm verschafft Kontrolle über das WeChat-Konto, nicht über das darunterliegende Telefon – allerdings merken die Forscher von Calif an, dass das Verketten mit zusätzlichen Sicherheitslücken in ihren Labortests eine vollständige Übernahme des Geräts ermöglichte. Tencent teilt mit, dass es keine Hinweise darauf gefunden habe, dass die Sicherheitslücke ausgenutzt wurde, bevor der Patch verfügbar war.

Tencent erhielt die Offenlegung von Calif am 24. Juli. Gepatchte Versionen erschienen am 21. August – Android 8.0.77 und iOS 8.0.76. Eine serverseitige Minderung, die am 28. August bestätigt wurde, bedeutet, dass Nutzer, die kein Update durchgeführt haben, auf Netzwerkebene geschützt bleiben. WeChat-Nutzer mit einer aktuellen Version tragen kein Restrisiko. Es wurde keine CVE-Nummer oder formelle Sicherheitswarnung von Tencent veröffentlicht.

Calif plant eine ausführlichere technische Offenlegung, sobald die branchenweite Minderung Fortschritte macht, und eine Konferenzpräsentation wird erwartet. Was die Forschung konkret zeigt, ist der Zeitplan: Für diese Klasse von Sicherheitslücken in einer weit verbreiteten Messaging-App verwandelte ein KI-gestütztes Team die Entdeckung in etwa zehn Tagen in einen einsatzbereiten Wurm.

Schlagwörter: Cybersicherheit, KI-Sicherheit, Calif, Tencent, WeChat, Zero-Click-Exploit