WeWorm: WeChatを介して拡散するゼロクリックワーム

WeWorm

［画像: WeWorm］

Califのミッションは、インターネットを時折分解することで、それを一つに保つことです。私たちは、自分自身を守れない人々を含め、誰もが安全でセキュアなインターネットを受ける権利があると信じています。

本日、私たちはiOSとAndroid間のWeChat通話を通じて拡散する初のゼロクリックワームであるWeWormのデモを公開します。これは、モバイルメッセージングアプリにおけるゼロクリック攻撃サーフェスを探求するシリーズの第一弾です。

WeChatは、中国のほぼ全ての人が、また世界中の中国系コミュニティが利用する「すべてが揃ったアプリ」です。WeWormは、単に被害者に電話をかけるだけで、そのアカウントを乗っ取り、友人にも電話をかけて、電話から電話へと拡散することができます。もし悪用された場合、攻撃者は10億以上の電話（またはアカウント）を侵害し、生計を破壊し、世界中のコミュニティを混乱させる可能性があります。

私たちは3台の電話でデモワームを構築しました。

最初のAndroidフォン（Pixel 10a）が攻撃者です。これを使用して2台目の電話（iPhone 17e）に電話をかけ、鳴っている最中にそのWeChatを乗っ取るバグを悪用しました。その後、侵害されたiPhoneを使用して別のPixel 10aに電話をかけ、同様の方法でそちらも乗っ取りました。攻撃者が被害者に電話をかけ、被害者が攻撃者となり、被害者が次の被害者に電話をかける、という流れです。

個別のAndroidおよびiOS RCEデモもご覧いただけます。

エクスプロイトは数秒で完了し、WeChatアカウントの完全な制御を可能にします。メッセージの読み書き、通話の発信、被害者の代理としての行動が可能です。私たちが報告し、修正を支援している他のAndroidおよびiOSのバグと組み合わせることで、デバイスの完全な制御につながる可能性があります。

被害者は通話に応答したり、電話を操作したりする必要は一切ありません。たとえ応答したとしても、何も聞こえず、エクスプロイトは成功します。通話を拒否するとその試みは停止しますが、攻撃者は例えば被害者が眠っている間に、いつでも再試行できます。

このエクスプロイトは、攻撃者が被害者のフレンドリストにいる必要があります。しかし、それは大きな障壁ではありません。攻撃者はまずあなたの友人の一人を侵害し、そのアカウントを使ってあなたに到達することができます。

WeChatは、多くのメッセージングアプリと同様に、信頼された連絡先に多くの特権を与えています。しかし、一度連絡先が侵害されると、その信頼はあなたに不利に働きます。

高度な攻撃者はこれを行うための多くの方法を持っています。OEMpocalypseのような技術を使用して、別のアプリを悪用し、ルートアクセスを取得し、被害者のWeChatアプリを乗っ取り、それを使ってあなたを攻撃することができます。

AIと協力して、私たちのチームはこのバグを発見し、約2日間で最初のリモートコード実行（RCE）エクスプロイトを作成しました。ワームの構築にはさらに1週間かかりました。

このような規模のワームは、かつては大規模なチームが数ヶ月かけて行うようなものでした。AIはすでにここでほとんどの作業を行うことができます。私たちのチームは、ターゲットと安全なテスト方法についての判断を提供しました。

私たちは、一般への意識を高めるために、この発見を公開しています。これらの能力は、資金力のある高度な攻撃者の手に長年存在していました。今違うのは、AIがこれらの能力をスキルレベルの低い攻撃者の手に渡し、一般ユーザーを前例のないリスクにさらしていることです。

実験室での事故や、半完成版を掴んだ人物が、誰も準備ができていないうちにWeWormのようなものを世界に解き放つだけで十分です。WannaCryは、早期に流出したツールが病院を襲ったことから、そのように広まりました。

安易な反応はAIを非難し、そのさらなる開発を抑制しようとすることです。私たちはそれが間違った教訓だと考えています。脆弱性はすでに存在しています。AIが変えたのは、私たちがそれらを迅速に見つけて修正できるようになったことです。私たちは、悪者よりも善人が多いと信じており、彼らが注意を払っていれば、AIは善人に有利な立場を与えます。

私たちは7月にTencentにWeChatのバグを報告しました。本日現在、彼らはすべてのユーザーに対して私たちのエクスプロイトを緩和しました。Tencentが協力的な対応をしてくれたことに感謝します。

この作業が、私たちが共に達成できることの例となることを願っています。これは、米国、中国、その他の政府が協力し、民間産業と協力してAIを開発・展開し、すべての人にとってより安全な世界を築くための呼びかけです。

バグ

このバグは、WeChatのVoIPスタックにおけるメモリ破損の問題です。技術的な詳細は現在控えています。今後のカンファレンスで完全な分析を発表する予定です。

この特定のWeChatバグは、多くのメッセージングアプリに存在する、数多くの非従来的な攻撃サーフェスの一例です。私たちは、他のアプリや攻撃サーフェスでさらにこの種の調査を行っており、アプリ開発者と協力して攻撃サーフェスの削減に取り組んでいます。これには業界全体の取り組みが必要となる場合があり、一部はプラットフォームオーナーに依存します。その作業が進んだら、このWeChatバグの技術的な詳細を含め、進捗状況を共有します。

公開までの経緯

• 2026年7月頃: 私たちのAIがバグを発見。
• 7月23日: 私たちのエンジニアリングチームがバグを認識。
• 7月24日: Tencentにバグを提出。
• 7月25日～28日: 私たちのWeChatアカウントがBANされる。
• 7月29日: 私たちのWeChatアカウントがBAN解除される。
• 7月30日: 最初のAndroid RCEエクスプロイトを完成。
• 8月2日: iOS RCEエクスプロイトを完成。
• 8月11日: AndroidとiOSを横断する洗練されたワームデモを完成。
• 8月21日: TencentがAndroid 8.0.77およびiOS 8.0.76をリリースし、バグを緩和。
• 8月26日: Tencentから問題の評価中であるとの通知を受ける。
• 8月28日: すべてのユーザーに対してサーバーサイドでエクスプロイトが緩和されたことを確認。
• 9月3日: Tencentと技術分析および動作するエクスプロイトを共有。
• 9月4日: Tencentが脆弱性がリモートコマンド実行のために悪用可能であることを確認。
• 9月8日: The New York Timesの記事と同時期に本記事を公開。
• 9月11日: The New York TimesがWeWormとその中国への影響に関するフォローアップ分析を公開。