Am Dienstag hat die kalifornische Sicherheitsfirma Calif ihre Arbeit an WeWorm veröffentlicht. Ein Wurm, der sich über WeChat-Anrufe verbreitet – auf iOS und Android, ohne dass das Opfer den Anruf annimmt. Sekunden später gehört der Account den Angreifern, danach ruft das Gerät die Kontakte des Opfers an. WeChat hat 1,4 Milliarden monatlich aktive Nutzer.
Abnehmen hilft übrigens nicht. Nimmst du ab, hörst du nichts, und der Exploit läuft trotzdem durch. Die Lücke selbst ist eine Speicherverletzung im VoIP-Stack von WeChat. Technische Details hält Calif bewusst zurück und will sie später auf einer Konferenz zeigen.
Der Satz, um den es geht
«Working with AI, our team found the bug and wrote the first remote code execution (RCE) exploit in about two days.» Der komplette Wurm brauchte danach noch etwa eine Woche.
Calif ordnet das selbst ein: Etwas in dieser Größenordnung habe früher ein größeres Team Monate gekostet. Und weiter: «AI can already do most of the work here. Our team provided the judgment about what to target and how to test it safely.»
Welches Modell im Einsatz war, steht nirgends. Schade, am Befund ändert das aber wenig. Die Suche nach Speicherfehlern und das Schreiben eines ersten funktionierenden Exploits sind mühsame, sehr strukturierte Arbeit – also genau die Sorte Aufgabe, bei der aktuelle Modelle stark sind.
Der Ablauf war sauber
- 24. Juli: Meldung an Tencent
- 21. August: Gepatchte Versionen (Android 8.0.77, iOS 8.0.76)
- 28. August: serverseitige Absicherung für alle Nutzer bestätigt
- 8. September: Veröffentlichung
Tencent hat die Befunde bestätigt. Wenn du WeChat nutzt und seit August aktualisiert hast, bist du raus.
Warum das hier steht
Bei jeder Debatte über KI und Sicherheit kommt irgendwann das Argument, dass die Verteidiger genauso profitieren wie die Angreifer. Stimmt ja auch. Calif sind in dieser Geschichte die Guten: gemeldet, gewartet, erst nach dem Patch veröffentlicht.
Nur ist die Verteilung nicht symmetrisch. Angreifer brauchen eine Lücke. Verteidiger müssen alle finden. Wenn sich der Aufwand für den ersten Exploit von Monaten auf Tage verkürzt, verschiebt das die Rechnung – und zwar nicht zugunsten der Verteidigung. Calif schreibt genau das selbst: Der Zugang senkt sich auch für Leute mit weniger Erfahrung.
Ich finde diese Meldung deshalb interessanter als die meisten Benchmark-Ergebnisse. Hier hat jemand aufgeschrieben, wie lange etwas gedauert hat, das vorher lange dauerte. Das ist eine härtere Zahl als jeder Score.
Quellen: Calif: WeWorm · The Register: WeChat worm could pwn a friend before they even answered the call · Help Net Security: ‘Zero-click’ WeChat worm could hijack accounts · Simon Willison: Calif Research