WeWorm: el primer gusano de propagación 0-Click que se distribuye mediante llamadas de WeChat en iOS y Android

Un gusano de prueba de concepto de cero clic llamado "WeWorm" que dice que puede propagarse a través de llamadas de voz de WeChat tanto en iOS como en Android, comprometiendo la cuenta de WeChat de un objetivo en segundos sin que la víctima responda a la llamada. Calif dice que el error se informó a Tencent en julio y que Tencent desde entonces ha mitigado el exploit para los usuarios, pero la investigación sigue sirviendo como una advertencia sobre cómo las aplicaciones de mensajería móvil pueden convertirse en superficies de ataque susceptibles de gusano a escala planetaria.

Tencent dice que Weixin y WeChat juntos superaron los 1.400 millones de usuarios activos mensuales a finales del primer trimestre de 2026, mientras que el propio sitio de WeChat describe que la plataforma atiende a más de 1.000 millones de usuarios con chats y llamadas en las principales plataformas móviles y de escritorio. Según la lista pública de investigación de Calif, WeWorm se describe como "el primer gusano de cero clics que se propagó a través de llamadas de WeChat a través de iOS y Android", y se publicó el 8 de septiembre de 2026, como parte del trabajo de investigación etiquetado con Android de la compañía. Calif dice que la víctima no necesita responder a la llamada ni interactuar con el teléfono para que la exploit tenga éxito, e incluso si la persona responde, no escucha nada mientras se lleva a cabo el compromiso. Calif también dice que la exploit cede el control total de la cuenta de WeChat de la víctima, incluida la capacidad de leer y enviar mensajes, realizar llamadas y actuar en nombre del usuario dentro de la aplicación.

La causa principal técnica, dice Calif, es un error de corrupción de memoria en la pila de VoIP de WeChat, aunque la compañía está reteniendo todos los detalles del exploit hasta una presentación posterior en la conferencia. La publicación WeWorm – First 0-Click Worm Spreading Through WeChat Calls Across iOS and Android apareció primero en Cyber Security News.

Consultar publicación original ↗