WeChat-Sicherheitslücke: Null-Klick-Anruf ermöglichte stillen Kontodiebstahl
Die Sicherheitsfirma Calif entwickelte einen Wurm, der WeChat-Konten durch eingehende Anrufe übernehmen konnte, ohne dass der Empfänger antworten musste; Tencent hat den Exploit blockiert.
Eine Sicherheitsfirma hat demonstriert, dass ein Angreifer ein WeChat-Konto allein durch einen eingehenden Anruf übernehmen kann, ohne dass der Empfänger antwortet oder das Telefon berührt. Forscher von Calif bauten einen Wurm, ein Programm, das sich selbst von einem Gerät auf ein anderes verbreiten kann, und zeigten, wie er sich zwischen drei Testtelefonen ausbreitete. Die angerufene Person muss nicht antworten oder das Telefon berühren, damit der Angriff funktioniert, aber der Anrufer muss bereits einer der WeChat-Kontakte des Ziels sein. Calif meldete den Fehler im Juli an Tencent, und Tencent hat den Exploit seitdem für alle Benutzer blockiert. Es wurden keine Angriffe in der Praxis gemeldet, die den Fehler ausnutzten, und Calif sagt nicht, dass welche stattgefunden haben.
Der Angriff ist ein Null-Klick-Exploit, eine Art von Angriff, der kein Tippen, Klicken oder Antworten der Zielperson erfordert. Wenn der Empfänger den Anruf annimmt, funktioniert der Exploit immer noch, und er hört nichts in der Leitung, so Calif. Das Ablehnen des Anrufs beendet diesen bestimmten Versuch, aber der Angreifer kann einfach später erneut anrufen, zum Beispiel während die Person schläft. Die Anforderung an die Kontaktliste ist keine große Hürde, so Calif, weil WeChat Kontakten zusätzliches Vertrauen gewährt, und sobald ein Kontaktkonto übernommen wurde, wirkt dieses Vertrauen zugunsten des Angreifers. Die Demonstration zeigte, wie ein Android-Telefon ein iPhone anrief und dessen WeChat übernahm, während das Telefon noch klingelte. Das kompromittierte iPhone rief dann ein zweites Android-Telefon an und übernahm auf dieselbe Weise die Kontrolle darüber. Der Bericht von Calif beschreibt Wege, die ein Angreifer nutzen könnte, anstatt solche, die getestet wurden.
Sobald der Exploit ausgeführt wird, hat der Angreifer die volle Kontrolle über das WeChat-Konto. Er kann Nachrichten lesen und senden, Anrufe tätigen und als Kontoinhaber handeln. Der Fehler allein gibt keine Kontrolle über das Telefon selbst. Für viele Benutzer ist WeChat mehr als eine Chat-App: Die Auflistung im App Store umfasst Zahlungen, offizielle Konten und Mini-Programme innerhalb der App. Tencent meldete in seinen Ergebnissen für das zweite Quartal 1,439 Milliarden kombinierte monatlich aktive Nutzer von WeChat und Weixin zum 30. Juni 2026. Diese Größenordnung macht eine stille Kontoübernahme besonders ernst, da ein kompromittiertes Konto verwendet werden kann, um Kontakte zu benachrichtigen, Zahlungen zu tätigen oder Mini-Programme im Namen des Opfers zu öffnen.
Tencent veröffentlichte WeChat Version 8.0.77 für Android und Version 8.0.76 für iOS am 21. August, so das eigene Versionsprotokoll. Calif sagte, diese Veröffentlichungen hätten den Fehler entschärft, und am 28. August bestätigte es, dass der Exploit auch auf den Servern von Tencent blockiert wurde. Die Forscher sagten, Tencent habe 'unseren Exploit für alle Benutzer entschärft'. Auf die Frage, ob auch der zugrunde liegende Fehler behoben wurde, antwortete Calif gegenüber The Hacker News, dass man dazu keine Angaben machen könne. Tencent hat keinen Hinweis zu dem Fehler veröffentlicht, und die Versionshinweise für die iOS-Version und der App-Store-Eintrag beschreiben das Update nur als Fehlerbehebungen. Da die Blockade auf den Servern von Tencent läuft, müssen Benutzer nichts installieren, um geschützt zu sein, aber die aktuelle Version zu verwenden, ist dennoch die sicherere Wahl. Am 8. September zeigte die App-Store-Auflistung Version 8.0.76 als aktuell.
Calif teilte The Hacker News mit, dass es den Exploit gegen WeChat 8.0.76 für Android und 8.0.75 für iOS getestet hat, jeweils eine Version unter der Version, die Tencent am 21. August ausgeliefert hat. Die Tests liefen auf iOS 26.6 und einigen älteren Android-Versionen. Keines der beiden Unternehmen hat eine vollständige Liste der betroffenen Versionen veröffentlicht, sodass ein Benutzer mit einer anderen Version nicht feststellen kann, ob sie anfällig war. Tencent liefert auch WeChat-Clients für HarmonyOS, Windows, Mac und Linux mit eigenen Veröffentlichungsplänen aus. Calif lehnte es in derselben Antwort ab, zu sagen, ob es eine davon getestet hat, und Tencent hat sich dazu nicht geäußert.
Calif hält die technischen Details zurück und plant, die vollständige Analyse auf einer Konferenz zu präsentieren. Es hat nichts veröffentlicht, nach dem ein Verteidiger suchen könnte, und es gibt keine Möglichkeit für einen Benutzer zu erkennen, ob er angerufen wurde. Überprüfungen am 8. September ergaben keine CVE-Kennung, die standardmäßige öffentliche Nummer zur Verfolgung bekannter Sicherheitsfehler, und keinen Hinweis auf der Sicherheitsantwortseite von Tencent, die als neueste Ankündigung April 2022 auflistet. The Hacker News hat Tencent um einen Kommentar gebeten. Calif sagte, es habe mit KI zusammengearbeitet, um den Fehler zu finden und den ersten Exploit zu schreiben, der in etwa zwei Tagen Code auf dem Telefon ausführen konnte. Der Bau des Wurms dauerte eine weitere Woche. Es entwarf eine Reihe von Fähigkeiten, die eine KI bei der Erkundung potenzieller Angriffsflächen in Messaging-Apps leiten, und die KI entdeckte diesen Fehler mit ihrer Hilfe. Eine längere Zeitleiste in dem Beitrag besagt, dass das Ingenieurteam den Fehler am 23. Juli kannte, der erste Android-Exploit am 30. Juli fertig war und die Wurm-Demo am 11. August abgeschlossen wurde. Der Beitrag sagt nicht, ob die kürzeren Zahlen nur die Arbeitszeit zählen.
Null-Klick-Angriffe sind nicht neu. Im letzten Jahr hat WhatsApp einen Fehler gepatcht, von dem es hieß, er könnte bei gezielten Angriffen verwendet worden sein. Der WeChat-Fall ist eine Erinnerung daran, dass eingehende Kommunikation mit Vorsicht behandelt werden sollte, selbst wenn sie von einem bekannten Kontakt zu stammen scheint, denn das Konto eines Kontakts kann gegen einen verwendet werden. Für Organisationen, die Messaging- oder Zahlungstools mit Geschäftssystemen verbinden, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung und hilft bei der Bewertung, wo privilegierte Konten verwendet werden, und reduziert den Schadensradius eines kompromittierten Logins.
So schützen Sie sich
- Aktualisieren Sie die WeChat-App auf Ihrem Telefon jetzt über Ihren üblichen App-Store und aktivieren Sie automatische Updates, damit zukünftige Fixes eintreffen, ohne dass Sie daran denken müssen.
- Überprüfen Sie regelmäßig Ihre WeChat-Kontaktliste und entfernen Sie Personen, die Sie nicht mehr kennen oder denen Sie nicht mehr vertrauen, da dieser Angriff nur von jemandem funktioniert, der bereits auf dieser Liste steht.
- Seien Sie vorsichtig bei Anrufen von Kontakten, die sich seltsam verhalten, und wenn ein Anruf zu einer ungewöhnlichen Zeit von einem Kontakt kommt, lehnen Sie ihn einfach ab, anstatt zu antworten.
- Beobachten Sie Ihr WeChat-Konto auf Nachrichten, die Sie nicht gesendet haben, oder Anrufe, die Sie nicht getätigt haben, und wenn Sie etwas Seltsames sehen, ändern Sie Ihr Passwort und melden Sie sich auf anderen Geräten ab.
- Halten Sie auch die anderen Apps auf Ihrem Telefon auf dem neuesten Stand, da Angreifer oft nach derselben Art von Schwachstelle in verschiedenen Messaging-Programmen suchen.
Begriffe Erklärt
- zero-click attack Eine Art von Angriff, der funktioniert, ohne dass die Zielperson tippt, klickt, öffnet oder antwortet.
- worm Ein Stück bösartige Software, das sich selbst von einem Gerät auf ein anderes verbreiten kann.
- exploit Code, der eine Schwachstelle in Software ausnutzt, um das Programm dazu zu bringen, etwas zu tun, das es nicht tun sollte.
- contact list Die Liste der Personen, die ein Benutzer als vertrauenswürdige Freunde oder Kontakte in einer App hinzugefügt hat.
- mitigated Den Schaden eines Problems reduziert oder blockiert, auch wenn der zugrunde liegende Fehler nicht vollständig behoben wurde.
- monthly active users Die Anzahl der verschiedenen Personen, die einen Dienst mindestens einmal während eines Kalendermonats nutzen.