Un gusano informático bautizado como 'WeWorm' habría permitido a un atacante tomar el control de más de mil millones de cuentas de WeChat sin necesidad de que las víctimas interactuaran con sus dispositivos. Esta vulnerabilidad, descubierta y explotada por el laboratorio de seguridad Calif con la ayuda de inteligencia artificial, representaba una amenaza sin precedentes para la seguridad de la 'aplicación de todo' más utilizada en China y por comunidades chinas en todo el mundo. La novedad de este ataque radica en su capacidad de propagación 'zero-click' (cero clics), lo que significa que la infección se producía simplemente al recibir una llamada, independientemente de si el usuario contestaba, dejaba sonar el teléfono o incluso si lo rechazaba, ya que el atacante podía reintentar la conexión en otro momento, por ejemplo, mientras la víctima dormía.
Según el informe de Calif, publicado en su sitio web y detallado por medios como Heise, el gusano funcionaba tanto en dispositivos Android como en iOS. El mecanismo de ataque se basaba en una falla de corrupción de memoria en el stack VoIP (voz sobre IP) de WeChat. La aplicación otorga más privilegios a los contactos de confianza; por lo tanto, si un atacante comprometía primero la cuenta de un amigo de la víctima, podía usar esa cuenta para llamar a la siguiente víctima. Al recibir la llamada, el exploit se ejecutaba en segundos, otorgando al atacante control total sobre la cuenta de WeChat de la víctima: leer y enviar mensajes, realizar llamadas y actuar en nombre del usuario. Calif demostró este proceso con una cadena de tres teléfonos: un Pixel 10a (atacante) llamó a un iPhone 17e (víctima), lo comprometió, y luego el iPhone comprometido llamó a otro Pixel 10a, replicando el ciclo de infección.
El descubrimiento de esta vulnerabilidad marca un hito en la ciberseguridad debido al papel de la inteligencia artificial. Calif reveló que, en el pasado, desarrollar un gusano de esta envergadura requería un equipo grande y meses de trabajo. Sin embargo, con el apoyo de sistemas de IA, el equipo de Calif logró encontrar el bug y escribir el exploit de ejecución remota de código (RCE) en apenas dos días, y construir el gusano completo en una semana adicional. La IA no solo aceleró el proceso, sino que redujo la barrera de entrada para actores menos cualificados, lo que, según Calif, deja a los usuarios ordinarios en un riesgo sin precedentes. La empresa advirtió que, al igual que WannaCry, un accidente de laboratorio o la fuga de herramientas a medio terminar podría liberar este tipo de malware en el mundo antes de que esté listo.
A pesar del potencial devastador, la vulnerabilidad ha sido cerrada. Calif reportó el bug a Tencent, el desarrollador de WeChat, en julio. Tras una breve interrupción de las cuentas de Calif por parte de Tencent, el proceso de colaboración culminó con la aplicación de parches de seguridad el 21 de agosto, mitigando el exploit para todos los usuarios. Calif agradeció a Tencent por la colaboración exitosa y destacó que la vulnerabilidad ya estaba cerrada, asegurando la seguridad de los usuarios.
El análisis de las implicaciones de este incidente revela una perspectiva dual sobre el impacto de la IA en la seguridad. Por un lado, existe el temor de que la IA esté democratizando las capacidades de ataque, permitiendo que actores con menos recursos técnicos ejecuten ataques complejos. Por otro lado, Calif argumenta que la reacción fácil de culpar a la IA y restringir su desarrollo es incorrecta. La empresa sostiene que las vulnerabilidades ya existían; lo que la IA ha cambiado es la capacidad de encontrarlas y corregirlas rápidamente. Calif confía en que hay más 'buenos' que 'malos' y que, si los actores benévolos están atentos, la IA les da la ventaja superior. La empresa concluye su informe con un llamado a la cooperación internacional, pidiendo a Estados Unidos, China y otros gobiernos que colaboren con la industria privada para desarrollar y desplegar la IA con el objetivo de hacer el mundo más seguro para todos.
En conclusión, WeWorm representa un punto de inflexión en la ciberseguridad móvil. Aunque la amenaza específica ha sido neutralizada, el incidente subraya la urgencia de adaptar las defensas a la era de la IA, donde la velocidad de descubrimiento de vulnerabilidades ha superado a la de los equipos humanos tradicionales. El estado actual es de seguridad reforzada tras los parches de Tencent, pero el futuro exige una vigilancia continua y una colaboración global para gestionar los riesgos que la inteligencia artificial introduce tanto en el ataque como en la defensa.