Ein Zero-Click-Wurm namens WeWorm hätte theoretisch sämtliche WeChat-Konten weltweit übernehmen können. Die Sicherheitsfirma Calif aus Kalifornien demonstrierte, wie ein einziger eingehender Anruf – selbst ohne Abnehmen – ausreicht, um eine unaufhaltsame Infektionskette in Gang zu setzen. Betroffen waren sowohl Android- als auch iOS-Geräte, und die geschätzte Reichweite lag bei über einer Milliarde potenziell kompromittierter Accounts.
Wie der Zero-Click-Wurm funktioniert
WeWorm gehört zu der gefährlichsten Gattung von Schadsoftware: einem Zero-Click-Wurm, der keinerlei Nutzerinteraktion benötigt. Die Ausbreitung erfolgte über die VoIP-Funktion von WeChat. Dabei nutzte der Wurm eine Sicherheitslücke, die gespeicherten Kontakten erweiterte Rechte einräumt – eine in Messenger-Apps übliche Praxis. Der Angreifer platzierte einen Anruf, der optisch von einem bekannten Kontakt zu stammen schien. Ob der Nutzer abhob, den Anruf ablehnte oder einfach klingeln ließ: Die Infektion trat in jedem Fall ein. Nur ein sofortiges Ablehnen innerhalb weniger Sekunden hätte den Angriff verhindern können – doch selbst dann hätte der Wurm den Anruf später wiederholt.
Entdeckung durch KI-System
Die zugrundeliegende Schwachstelle wurde nach Angaben des Unternehmens nicht von einem menschlichen Sicherheitsexperten, sondern von einer KI entdeckt. Was früher ein Team von Entwicklern Monate gekostet hätte, erledigte das System bei Calif in zwei Tagen für den Exploit und einer weiteren Woche für den kompletten Wurm. Damit verschiebt sich das Bedrohungsszenario fundamental: Während Schwachstellen schon immer existierten, verkürzt KI die Zeitspanne zwischen Entdeckung und Ausnutzung drastisch. Dennoch warnt Calif davor, der Technologie pauschal die Schuld zu geben. Das eigentliche Problem seien nach wie vor ungepatchte Lücken. KI befähige die „Guten“, diese schneller zu finden und zu schließen – wenn man denn wolle.
Patches und Reaktion von Tencent
Die Chronologie der Ereignisse zeigt, wie fragil der Melde- und Patchprozess ist. Calif entdeckte die Lücke im Juli und meldete sie am 24. Juli an Tencent. Die erste Reaktion des chinesischen Konzerns: die Accounts von Calif sperren zu lassen. Erst nach Klärung wurden die Sperren aufgehoben, und am 21. August veröffentlichte Tencent ein Update, das die Lücke schloss. Für die Dauer von knapp einem Monat hätte der Wurm also in freier Wildbahn sein Unwesen treiben können. Mittlerweile sind alle Nutzer durch die Patches geschützt.
Kombination mit OEMpocalypse – ein Albtraumszenario
WeWurm allein übernahm lediglich die WeChat-Konten. Für eine vollständige Kompromittierung des ganzen Smartphones wären zusätzliche Sicherheitslücken nötig gewesen. Genau hier setzt eine weitere Forschung von Calif an: Unter dem Namen OEMpocalypse stellte das Unternehmen eine Technik vor, die es einer App ohne spezielle Rechte erlaubt, auf Android-Geräten verschiedener Hersteller Root-Zugriff zu erlangen. In Kombination hätte WeWorm nicht nur alle WeChat-Konten, sondern die vollständige Kontrolle über die Endgeräte übernehmen können – ein Szenario mit enormem Schadpotenzial.
Die eigentliche Lehre aus diesem Fall liegt jedoch nicht in der konkreten Lücke, sondern in der Geschwindigkeit, mit der sich Bedrohungen dank KI entwickeln. Während Sicherheitsteams früher Wochen und Monate für die Analyse benötigten, schrumpfen diese Zeitfenster jetzt auf Tage. Zero-Click-Würmer, die sich ohne menschliches Zutun über Kontaktnetze verbreiten, könnten bald zur Standardausstattung von Angreifern gehören. Für Unternehmen wie Tencent bedeutet das: Patches müssen nicht nur bereitgestellt, sondern auch schneller validiert werden – und zwar ohne die Meldewege zu behindern. Für Nutzer bleibt nur die Gewissheit, dass selbst ein vertrauter Anruf nicht mehr automatisch sicher ist.
