速速升级！微信高危漏洞WeWorm来袭

赶快升级！海外安全研究机构Calif Research近期发布一段演示视频。简单来说，只要攻击者给你拨打微信语音，即便你不接听、不点任何链接，只要出现来电响铃界面，账号就有可能被劫持，被控制后的账号还能自动呼叫通讯录好友。

攻击者只需拨打一通微信电话，就能在受害者无需任何操作的情况下劫持其账号，再通过被劫持的账号继续呼叫下一位受害者，形成链式传播。

Calif Research在演示中用了三台手机，第一台Pixel 10a作为攻击端，向一台iPhone 17e发起微信通话，在电话还在响铃期间就完成了对iPhone上微信的劫持。随后被控制的iPhone又向第三台手机发起通话，用同样的方式将其攻破。

整个利用过程只需几秒钟，攻击者获得微信账号的完全控制权后，可以读取和发送消息、拨打电话、以受害者身份执行操作，如果与其他已知的漏洞结合使用，甚至可以实现对该手机的完全控制。

最关键的是，这属于零点击攻击，受害者不需要接听电话，不需要与手机进行任何交互，即使接听了，也听不到任何声音，攻击照样成功。

哪怕是拒接电话，也只能阻止当次尝试，但攻击者完全可以换个时间再打，比如趁受害者熟睡时再来一次。

这种攻击的前提是攻击者必须在受害者的好友列表中，但这道门槛比想象中低得多，攻击者可以先攻破受害者的某个好友，再通过被劫持的好友账号向受害者发起通话。更高级的攻击者还可以通过其他应用获取root权限，再接管微信发起攻击。

Calif Research团队在AI辅助下发现了这个漏洞，并在大约两天内写出了首个远程代码执行（RCE）利用代码，又花了一周时间完成了蠕虫的完整演示。

团队表示，过去构建这种规模的蠕虫通常需要一支更大的团队花费数月时间，而AI已经能完成其中大部分工作，人类团队主要提供“攻击什么”和“如何安全测试”的判断。

漏洞本身是微信VoIP协议栈中的内存损坏问题，Calif Research暂时未保留了技术细节，计划在即将举行的会议上公布完整分析。

他们强调，这只是众多即时通讯应用中非常规攻击面的一个实例，目前正在对其他应用和攻击面开展类似研究。

Calif Research还表示，发布此次研究的目的是提高公众安全意识，这类攻击在资金充足的高级黑客手中早已存在，而AI正在将这些能力交到技术水平较低的攻击者手中，让普通用户面临前所未有的风险。

但Calif Research认为，不应该因此限制AI的发展，漏洞本身已经存在，AI改变的是发现和修复漏洞的速度，他们呼吁国家与企业合作，共同利用AI提升全球网络安全水平。