【安全资讯】腾讯修复微信零点击漏洞：恶意代码可通过语音通话传播

概要：

近日，腾讯修复了一个影响微信的零点击漏洞，该漏洞可被利用构建蠕虫，通过语音通话在无需用户交互的情况下传播。安全研究人员演示了攻击过程，攻击者仅需向受害者发起通话请求，即可在对方未接听时控制其账户，影响范围涉及全球超14亿月活用户。

主要内容：

该漏洞由Calif安全团队发现，被命名为WeWorm，是首个能够同时影响iOS和Android平台微信的零点击蠕虫。漏洞根源在于微信的VoIP协议栈存在内存损坏缺陷，攻击者利用该缺陷可在通话建立前触发恶意代码执行，从而完全控制目标账户。

攻击者必须是受害者的可信联系人，这在一定程度上限制了攻击范围，但研究团队指出，被攻陷的账户可被用于向其好友列表中的其他联系人发起攻击，形成链式传播。在演示中，攻击过程仅需数秒，且受害者拒绝接听或未接听均不影响攻击成功。

Calif团队表示，该漏洞可与其他移动操作系统漏洞结合，实现对整个设备的完全控制。团队利用人工智能技术辅助漏洞发现和利用代码开发，仅用两天时间便构建了首个远程代码执行利用。腾讯已于8月21日推送修复补丁，但Calif团队暂未公布完整攻击链细节。

此次事件凸显了AI技术在网络攻击中的新应用，使得高级攻击能力可能不再局限于技术实力雄厚的攻击者。乔治城大学安全研究项目兼职助理教授Ryan Fedasiuk称此为“极其严重的事件”，并呼吁中美两国在AI加剧网络威胁的背景下保持沟通与信息共享。