WeWorm：零点击微信蠕虫

← 研究 WeWorm 第一个通过微信通话在 iOS 和 Android 上传播的零点击蠕虫。加州研究中心 2026 年 9 月 8 日 由《纽约时报》报道 零点击 Android 苹果 在加州，我们的使命是通过偶尔拆散互联网来保持互联网的完整性。我们相信每个人都应该拥有一个安全可靠的互联网，包括那些无法保护自己的人。今天，我们发布了 WeWorm 的演示，这是第一个通过微信通话在 iOS 和 Android 上传播的零点击蠕虫。这是探索移动消息应用程序中的零点击攻击面系列的第一部分。微信是一款几乎每个中国人以及全世界华人社区都在使用的“万能应用程序”。只需致电受害者，WeWorm 就可以劫持他们的帐户并致电他们的朋友，并在手机之间传播。如果被利用，行为者可能会危害超过十亿部手机（或账户），从而颠覆世界各地的生计并破坏社区。我们用三部手机构建了一个演示蠕虫：第一部 Android 手机 Pixel 10a 是攻击者。我们用它拨打了第二部手机 iPhone 17e，并利用该漏洞在手机还在响铃时接管了微信。然后，我们使用受损的 iPhone 拨打第三部手机（另一部 Pixel 10a），并以相同的方式接听该手机。攻击者呼叫受害者，受害者成为攻击者，受害者呼叫下一个受害者。您还可以观看单独的 Android 和 iOS RCE 演示。利用仅需几秒钟，我们就可以完全控制微信帐户。我们可以阅读和发送消息、拨打电话以及代表受害者采取行动。与我们已报告并正在帮助修复的其他 Android 和 iOS 错误相结合，它可以导致对设备的完全控制。受害者根本不需要接听电话，也不需要与手机互动。即使他们确实回答了，他们也听不到任何声音，漏洞利用仍然成功。拒绝呼叫会阻止该尝试，但攻击者可以稍后重试，例如在受害者睡觉时重试。此漏洞要求攻击者位于受害者的好友列表中。但这并不是太大的障碍：攻击者可以首先危害您的一位朋友，然后使用他们的帐户来联系您。与许多消息应用程序一样，微信为可信联系人提供了更多特权。但一旦某个联系人受到损害，这种信任就会对你不利。老练的攻击者有很多方法可以做到这一点。他们可以利用另一个应用程序，使用 OEMpocalypse 中的技术获得 root 访问权限，接管受害者的微信应用程序，并用它来攻击您。我们的团队与 AI 合作，发现了该错误，并在大约两天内编写了第一个远程代码执行 (RCE) 漏洞。构建蠕虫又花了一周的时间。这种规模的蠕虫病毒过去需要更大的团队花费数月的时间才能完成。人工智能已经可以完成这里的大部分工作。我们的团队提供了关于目标是什么以及如何安全测试的判断。我们正在发布我们的研究结果以提高公众意识。这些能力长期以来一直掌握在资金充足、经验丰富的参与者手中。现在的不同之处在于，人工智能将这些功能交给了技能较差的参与者，使普通用户面临前所未有的风险。只需要一次实验室事故或一个人拿到了半成品版本，就可以在任何人准备好之前将像 WeWorm 这样的东西释放到世界上。 WannaCry 就这样摆脱了早期泄露并袭击医院的工具。最简单的反应就是指责人工智能并试图限制其进一步发展。我们认为这是错误的教训。漏洞已经存在。人工智能改变的是我们可以快速找到并修复它们。我们相信好人比坏人多，如果他们注意的话，人工智能就会让好人占上风。我们在 7 月份向腾讯报告了微信错误。截至今天，他们已经减轻了我​​们对所有用户的攻击。我们要感谢腾讯的成功合作。我们希望这项工作成为我们共同实现目标的一个例子。它呼吁美国、中国和其他国家政府与私营企业共同努力，合作开发和部署人工智能，让世界对每个人来说都更安全。该错误该错误是微信 VoIP 堆栈中的内存损坏问题。我们暂时不透露技术细节。我们计划在即将召开的会议上展示完整的分析。这个特定的微信漏洞是许多消息应用程序中存在的许多非常规攻击面的一个实例。我们正在对其他应用程序和攻击面进行更多此类研究，同时与应用程序开发人员合作减少攻击面。这可能需要全行业的努力，因为其中一些取决于平台所有者。一旦这项工作取得进展，我们将分享我们的进展，包括这个微信错误的技术细节。披露时间表 2026 年 7 月的某个时候：我们的 AI 发现了该错误。 7 月 23 日：我们的工程团队意识到了这个错误。 7月24日：我们向腾讯提交了该bug。 7 月 25 日至 2 日