Un análisis profesional sobre la vulnerabilidad de WeChat que permite la toma de cuentas sin interacción del usuario y las respuestas de Tencent

Recientemente, investigadores de Calif revelaron una vulnerabilidad en la pila VoIP de WeChat que podría permitir la toma de control de cuentas en dispositivos Android e iOS. Lo que distingue este fallo es que es de “zero-click”: la víctima no necesita realizar ninguna acción para verse comprometida. El hallazgo se hizo público tras la divulgación responsable a la empresa matriz Tencent y la posterior corrección en las versiones Android 8.0.77 e iOS 8.0.76. Aun cuando no se han observado explotaciones en la vida real, este tipo de vulnerabilidad subraya la importancia de considerar superficies de ataque no obvias en aplicaciones multifuncionales como WeChat.

Contexto
WeChat es descrito como una “super-app” con aproximadamente 1.4 mil millones de usuarios, especialmente popular en China. Además de mensajería y llamadas, la plataforma integra funciones sociales, pagos, servicios gubernamentales y empresas. La amplitud de sus capacidades amplía la superficie de ataque potencial y la necesidad de controles de seguridad robustos en todo el ecosistema de aplicaciones vinculadas.

El vector de ataque y su funcionamiento
– El fallo se conoce como una vulnerabilidad de corrupción de memoria en la pila VoIP de WeChat. Los detalles técnicos no se han difundido públicamente para evitar la exposición de ataques, pero se ha demostrado un “gusano” llamado WeWorm que podría propagarse mediante llamadas dentro de la propia app.
– Modo de operación práctico: un atacante que tenga a la víctima en su lista de contactos puede realizar una llamada a la víctima desde WeChat. La explotación funciona tanto en Android como en iOS, sin importar el modelo o la versión del sistema operativo.
– Importante: la víctima no necesita contestar; el simple hecho de que la llamada suene es suficiente para que el gusano se active. Si se contesta, la experiencia es de silencio para la víctima, pero la intrusión ya ha ocurrido. Si la llamada es rechazada, el ataque puede reintentarse cuando el usuario esté ausente o dormido.
– En cuestión de segundos, el atacante podría obtener acceso a la cuenta de WeChat de la víctima, incluyendo mensajes y contactos. Aunque WeChat Pay incorpora controles de autenticación y riesgo, la posibilidad de comprometer otros aspectos de la cuenta sigue siendo motivo de preocupación.

Estado de la explotación y respuesta
– No hay evidencia de explotación en el mundo real hasta la fecha, lo que reduce el riesgo inmediato para usuarios. No obstante, no es el primer zero-click en teléfonos inteligentes y no se puede descartar la posibilidad de futuras variantes en otras plataformas.
– Tencent respondió con un parche en las versiones 8.0.77 (Android) y 8.0.76 (iOS). Los detalles del parche no se documentaron exhaustivamente, más allá de indicar corrección de errores. En declaraciones recogidas por The Hacker News, se mencionó que el exploit se ha mitigado para todos los usuarios y que la corrección se aplicó a nivel de servidor, de modo que los usuarios no necesitan instalar nada, salvo el parche.

Implicaciones para el ecosistema y prácticas recomendadas
– Este caso subraya la necesidad de una defensa en profundidad en aplicaciones que actúan como plataformas integrales. Controles en la pila VoIP, validaciones de memoria y mitigaciones de corrupción de memoria son cruciales, especialmente para aplicaciones con capacidades de mensajería, llamadas y pagos.
– Las plataformas deben considerar la reducción de superficies de ataque no evidentes, como procesos de llamada en segundo plano y manejo de estados de sesión, con pruebas de seguridad continuas y respeto a la privacidad y seguridad del usuario.
– Aunque la corrección ya está disponible, las investigaciones continúan para otros sistemas y aplicaciones de mensajería. Se recomienda a los usuarios mantener las apps actualizadas, revisar permisos y activar alertas de seguridad que permitan detectar comportamientos anómalos.

Mirando hacia adelante
Las investigaciones de Calif señalan que este es un caso entre muchas posibles vulnerabilidades en apps de mensajería. A medida que la industria avanza, es probable que surjan más hallazgos y parches para mitigar estas exposiciones. La colaboración entre investigadores y desarrolladores será clave para disminuir el riesgo y fortalecer la confianza de los usuarios en soluciones de mensajería a escala global.

from Latest from TechRadar https://ift.tt/W5iYzLd
via IFTTT IA