WeWorm: WeChatを介して拡散するゼロクリックワーム

Research WeWorm 最初のゼロクリックワーム、WeChatの通話を通じてiOSとAndroidで拡散。Calif Research 2026年9月8日 The New York Timesで取り上げられました zero-click android apple Califでは、インターネットを分解することによって、それを一つに保つことを使命としています。私たちは、自分自身を守れない人々を含め、誰もが安全でセキュアなインターネットを受ける権利があると信じています。本日、私たちはWeChatの通話を通じてiOSとAndroidで拡散する初のゼロクリックワームであるWeWormのデモを公開します。これは、モバイルメッセージングアプリにおけるゼロクリック攻撃サーフェスを探求するシリーズの最初のパートです。WeChatは、中国のほぼ全ての人が、また世界中の中国コミュニティで利用されている「すべて」のアプリです。単に被害者に電話をかけるだけで、WeWormはそのアカウントを乗っ取り、その友人に電話をかけて、電話から電話へと拡散することができます。悪用された場合、攻撃者は10億以上の電話（またはアカウント）を侵害し、生計を破壊し、世界中のコミュニティを混乱させる可能性があります。 私たちは3台の電話でデモワームを構築しました。最初のAndroidフォン、Pixel 10aが攻撃者です。これを使用して2台目の電話、iPhone 17eに電話をかけ、まだ鳴っている間にそのWeChatを乗っ取るバグを悪用しました。次に、侵害されたiPhoneを使用して、別のPixel 10aに電話をかけ、同じ方法でそれを乗っ取りました。攻撃者が被害者に電話をかけ、被害者が攻撃者になり、被害者が次の被害者に電話をかけます。個別のAndroidおよびiOS RCEデモを視聴することもできます。 悪用にはわずか数秒しかかからず、WeChatアカウントの完全な制御が可能になります。メッセージの読み書き、通話の発信、被害者の代わりに操作を行うことができます。私たちが報告し、修正に協力している他のAndroidおよびiOSのバグと連鎖させることで、デバイスの完全な制御につながる可能性があります。被害者は電話に出る必要も、電話を操作する必要もありません。たとえ電話に出たとしても、何も聞こえず、エクスプロイトは成功します。電話を拒否するとその試みは停止しますが、攻撃者は後で、例えば被害者が寝ている間に、簡単に再試行できます。 このエクスプロイトは、攻撃者が被害者の友人リストにいる必要があります。しかし、それは大きな障壁ではありません。攻撃者はまずあなたの友人の一人を侵害し、そのアカウントを使用してあなたに到達することができます。多くのメッセージングアプリと同様に、WeChatは信頼された連絡先に多くの特権を与えます。しかし、一度連絡先が侵害されると、その信頼はあなたに不利に働きます。巧妙な攻撃者はこれを行うための多くの方法を持っています。彼らは別のアプリを悪用し、OEMpocalypseのような技術を使用してルートアクセスを取得し、被害者のWeChatアプリを乗っ取り、それを使用してあなたを攻撃することができます。 AIと協力して、私たちのチームはバグを発見し、約2日間で最初のリモートコード実行（RCE）エクスプロイトを作成しました。ワームの構築にはさらに1週間かかりました。この規模のワームは、かつてはより大きなチームが数ヶ月かけていたようなものでした。AIはすでにここで作業の大部分を行うことができます。私たちのチームは、何をターゲットにし、どのように安全にテストするかについての判断を提供しました。 私たちは、一般の認識を高めるために、私たちの発見を発表しています。これらの能力は、資金力のある巧妙な攻撃者の手に長年存在していました。今変わったのは、AIがこれらの能力をスキルレベルの低い攻撃者の手に渡し、一般ユーザーを前例のないリスクにさらしていることです。ラボでの事故や、半完成版を掴んだ人物が、誰も準備ができていないうちにWeWormのようなものを世界に解き放つだけで十分です。WannaCryはそのようにして広まりました。ツールが早期に流出し、病院を襲ったのです。簡単な反応はAIを非難し、そのさらなる開発を抑制しようとすることです。私たちはそれが間違った教訓だと考えています。脆弱性はすでに存在しています。AIが変わったのは、それらを迅速に見つけて修正できるようになったことです。私たちは、悪者よりも善者が多いと信じており、彼らが注意を払っていれば、AIは善者に有利な立場を与えます。 私たちは7月にWeChatのバグをTencentに報告しました。本日現在、彼らはすべてのユーザーに対して私たちのエクスプロイトを緩和しました。Tencentが協力してくれたことに感謝したいと思います。私たちは、この作業が私たちが共に達成できることの例となることを願っています。これは、米国、中国、その他の政府が協力し、民間産業と協力してAIを開発・展開し、世界をより安全にするための呼びかけです。 バグ バグは、WeChatのVoIPスタックにおけるメモリ破損の問題です。技術的な詳細は現在控えています。今後のカンファレンスで完全な分析を発表する予定です。この特定のWeChatバグは、多くのメッセージングアプリに存在する数多くの非従来的な攻撃サーフェスの1つの事例です。私たちは、他のアプリや攻撃サーフェス全体でさらに調査を行っており、アプリ開発者と協力して攻撃サーフェスを削減しています。これには業界全体の取り組みが必要になる場合があります。なぜなら、一部はプラットフォームオーナーに依存しているからです。その作業がさらに進んだら、このWeChatバグの技術的な詳細を含め、進捗状況を共有します。 開示タイムライン 2026年7月頃：私たちのAIがバグを発見しました。 7月23日：私たちのエンジニアリングチームがバグを認識しました。 7月24日：Tencentにバグを提出しました。 7月25～28日：私たちのWeChatアカウントが禁止されました。 7月29日：私たちのWeChatアカウントが禁止解除されました。 7月30日：最初のAndroid RCEエクスプロイトを完成させました。 8月2日：iOS RCEエクスプロイトを完成させました。 8月11日：AndroidとiOS全体での洗練されたワームデモを完成させました。 8月21日：TencentがAndroid 8.0.77およびiOS 8.0.76を公開し、バグを緩和しました。 8月26日：Tencentが問題を評価中であると私たちに通知しました。 8月28日：私たちのエクスプロイトがすべてのユーザーに対してサーバーサイドで緩和されたことを確認しました。 9月3日：技術分析と動作するエクスプロイトをTencentと共有しました。 9月4日：Tencentは、脆弱性がリモートコマンド実行に悪用される可能性があることを確認しました。 9月8日：The New York Timesの報道と並行して、この記事を公開しました。 Califについて 私たちは、攻撃的セキュリティリサーチの限界を押し広げ、AIで何が可能になるかを理解し、それらの洞察を使用して顧客が自身を守るのを助けます。お問い合わせいただき、この種の研究をもっと知りたい場合は、ニュースレターを購読してください：購読 確認のために受信トレイを確認してください。 関連リサーチ OEMpocalypse Now: Android untrusted appからrootへの汎用的な悪用戦略 2026年8月31日 CVE-2024-10382: Android Autoおよび様々なアプリでの任意のコード実行 2024年12月18日 No Country for Old Passwords 2026年8月10日 ← すべてのリサーチ