AI ने 2 दिनों में WeChat वर्म बनाया — बिना कॉल उठाए अकाउंट हैक हो जाता है

WeWorm एक ज़ीरो-क्लिक वर्म है — यानी यह डिवाइस को उपयोगकर्ता की कोई कार्रवाई के बिना ही समझौता कर लेता है। हमला एक इनकमिंग WeChat कॉल के रूप में आता है। लक्ष्य को कॉल उठाने की जरूरत नहीं है; एक्सप्लॉइट रिंगिंग चरण के दौरान, फोन द्वारा उपयोगकर्ता को सूचित करने और उनके द्वारा कॉल को अस्वीकार करने या उत्तर देने के बीच के अंतराल में सक्रिय हो जाता है।

यह कमजोरी WeChat के VoIP स्टैक में है, जो कॉल प्रबंधित करने के लिए जिम्मेदार कोड है। उस कोड में मेमोरी करप्शन दोष ने Calif के सुरक्षा शोधकर्ताओं को रिमोट डिवाइस पर मनमाने कमांड निष्पादित करने की अनुमति दी। एक बार सक्रिय होने के बाद, वर्म संदेशों को पढ़ता और भेजता है, कॉल करता है, और खाता स्वामी का प्रतिरूपण करता है — फिर उस व्यक्ति के संपर्कों को डायल करता है, और श्रृंखला को दोहराता है।

दोष से परे जो मायने रखता है वह है गति। AI के साथ काम करते हुए, Calif की टीम ने कमजोरी का पता लगाया और लगभग दो दिनों में पहला कार्यशील रिमोट-कोड-एक्सिक्यूशन एक्सप्लॉइट लिखा। पूर्ण वर्म को इकट्ठा करने में एक और सप्ताह लगा। खाली स्लेट से तैनाती योग्य हथियार तक का वह दस-दिन का कुल समय कुछ साल पहले एक अच्छी तरह से संसाधन संपन्न टीम के लिए एक महत्वपूर्ण उपलब्धि होती। शोधकर्ताओं का कहना है कि AI उपकरण एक छोटी टीम के लिए विकास की सीमा को कम करते हैं, इस प्रकार के काम को उन अभिकर्ताओं की पहुंच में लाते हैं जिनके पास पहले विशेषज्ञता की कमी होती।

इसकी पहुंच बड़ी है। WeChat के एक अरब से अधिक उपयोगकर्ता हैं, जो मुख्य रूप से चीन में केंद्रित हैं लेकिन चीनी भाषी समुदायों और अंतरराष्ट्रीय स्तर पर स्थापित आधार के माध्यम से वैश्विक स्तर पर मौजूद हैं। एक प्रयोगशाला प्रदर्शन में, एक समझौता किया गया Android उपकरण एक iPhone को संक्रमित किया, जिसने फिर दूसरे Android को संक्रमित किया। संपर्क सूचियों — WeChat उपयोगकर्ताओं के पास आमतौर पर सैकड़ों संपर्क होते हैं — के माध्यम से काम करते हुए, शोधकर्ताओं का अनुमान है कि सैद्धांतिक रूप से घंटों के भीतर लाखों उपकरणों तक पहुंचा जा सकता है।

वास्तविक सीमाएँ हैं। हमले के लिए आवश्यक है कि प्रारंभिक हमलावर पहले से ही लक्ष्य की संपर्क सूची में दिखाई दे, या पहले किसी ऐसे व्यक्ति से समझौता करे जो ऐसा करता है। वर्म WeChat खाते पर नियंत्रण प्रदान करता है, अंतर्निहित फोन का नहीं — हालांकि Calif के शोधकर्ता ध्यान देते हैं कि इसे अतिरिक्त कमजोरियों के साथ जोड़कर उनके प्रयोगशाला परीक्षणों में पूर्ण उपकरण अधिग्रहण प्राप्त हुआ। Tencent का कहना है कि पैच आने से पहले उसे दोष के वास्तविक दुनिया में शोषण का कोई सबूत नहीं मिला।

Tencent को Calif की सूचना 24 जुलाई को मिली। पैच किए गए संस्करण 21 अगस्त को जारी हुए — Android 8.0.77 और iOS 8.0.76। 28 अगस्त को पुष्टि किए गए सर्वर-साइड शमन का मतलब है कि जिन उपयोगकर्ताओं ने अपडेट नहीं किया है, वे नेटवर्क स्तर पर संरक्षित हैं। किसी भी मौजूदा संस्करण पर WeChat उपयोगकर्ता कोई शेष जोखिम नहीं उठाते हैं। कोई CVE नंबर या औपचारिक Tencent सुरक्षा सलाहकार प्रकाशित नहीं किया गया है।

Calif उद्योग-व्यापी शमन प्रगति के बाद पूर्ण तकनीकी खुलासे की योजना बना रहा है, जिसमें एक सम्मेलन प्रस्तुति की उम्मीद है। अनुसंधान जो ठोस बनाता है वह है समयरेखा: व्यापक रूप से उपयोग किए जाने वाले मैसेजिंग ऐप में इस प्रकार की कमजोरी के लिए, एक AI-सहायता प्राप्त टीम ने खोज से तैनाती योग्य वर्म में लगभग दस दिनों में रूपांतरित किया।

टैग: साइबर सुरक्षा, AI सुरक्षा, Calif, Tencent, WeChat, zero-click exploit