WeChat lỗ hổng bảo mật kiểu zero‑click: chỉ một hồi chuông là mất tài khoản
Lỗ hổng bảo mật mới trên WeChat là một lỗi xử lý VoIP kiểu zero‑click cho phép kẻ tấn công chiếm quyền điều khiển tài khoản chỉ bằng một cuộc gọi đến, trong đó ứng dụng tự động xử lý dữ liệu cuộc gọi dẫn đến lỗi hỏng bộ nhớ và bị chuyển hóa thành thực thi mã từ xa trên iOS lẫn Android, mà người dùng không cần nhấc máy hay thao tác bất kỳ hành động nào.
Vấn đề đáng sợ ở đây không phải là “thêm một WeChat lỗ hổng bảo mật” nữa, mà là cách nó phá vỡ mọi thói quen phòng thủ cơ bản mà người dùng vẫn tin là đủ an toàn: không bấm link lạ, không mở file lạ, không nghe số lạ gọi tới. Lần này, chỉ cần điện thoại đổ chuông, tài khoản WeChat đã có nguy cơ bị chiếm quyền. Khi WeChat là “siêu ứng dụng” gắn với liên lạc, công việc, thanh toán và hàng loạt dịch vụ khác, một cuộc gọi chiếm tài khoản kiểu này biến mọi kết nối của bạn thành bề mặt tấn công tiềm tàng.
RCE lỗi VoIP hoạt động thế nào: từ bug bộ nhớ đến sâu WeWorm tự lây lan
Nhóm nghiên cứu Calif phát hiện một lỗi hỏng bộ nhớ trong ngăn xếp VoIP của WeChat, sau đó biến nó thành khả năng thực thi mã từ xa (RCE) trên cả Android và iOS. Điều kiện duy nhất: kẻ tấn công phải có tài khoản WeChat và nằm trong danh sách bạn bè của nạn nhân, rồi gọi cho họ qua ứng dụng. Ngay khi điện thoại bắt đầu đổ chuông, chuỗi tấn công được kích hoạt, mã độc được nạp vào vùng nhớ do lỗi xử lý dữ liệu cuộc gọi.
Để chứng minh mức độ nguy hiểm, họ xây dựng một sâu thử nghiệm mang tên WeWorm, có khả năng chiếm tài khoản WeChat mục tiêu và tự lây qua các cuộc gọi tiếp theo. Sau khi chiếm một tài khoản, WeWorm dùng chính tài khoản đó để gọi cho những người trong danh bạ của nạn nhân, tiếp tục lợi dụng lỗ hổng RCE lỗi VoIP để mở rộng chuỗi lây từ Android sang iPhone rồi quay trở lại Android. Đây là một mô hình lây lan kiểu “sâu” cổ điển, nhưng được gắn vào một nền tảng có tới khoảng 1,439 tỷ tài khoản hoạt động hàng tháng, nên tiềm năng ảnh hưởng là cực lớn.
Mức độ nghiêm trọng: từ cuộc gọi chiếm tài khoản đến nguy cơ chiếm luôn thiết bị
Khi WeWorm chiếm quyền tài khoản, kẻ tấn công có thể đọc tin nhắn, xem danh bạ, kiểm soát các cuộc trò chuyện và sử dụng tài khoản đó như một người dùng hợp lệ. Điều này mở đường cho lừa đảo xã hội ở quy mô lớn: nạn nhân mới nhận cuộc gọi từ “bạn bè” trong danh bạ, trong khi tài khoản ấy đã bị kiểm soát bởi kẻ khác. Với người kinh doanh, việc mất quyền tài khoản WeChat không chỉ là rò rỉ trò chuyện riêng tư mà còn là gián đoạn giao dịch, ảnh hưởng uy tín và mối quan hệ khách hàng.
Nghiên cứu cho thấy chuỗi khai thác hiện tại chưa vượt qua mọi lớp xác thực để thanh toán hay tự động rút tiền, nhưng chỉ cần kết hợp thêm một lỗ hổng khác, kẻ tấn công có thể chiếm luôn quyền điều khiển điện thoại. “Có thể chiếm quyền điều khiển điện thoại nếu kết hợp thêm lỗ hổng khác” là lời nhắc rằng giới hạn của tấn công không nằm ở một bug đơn lẻ mà ở cách nhiều lỗi xâu chuỗi với nhau. Dù đến nay chưa có bằng chứng lỗ hổng này bị khai thác ngoài thực tế, mức độ nghiêm trọng vẫn ở cấp cảnh báo vì nó đụng đến chính nền tảng liên lạc và tin tưởng của người dùng.
Đừng đổ lỗi cho người dùng: vấn đề nằm ở thiết kế tự động xử lý dữ liệu
Nhiều năm qua, người dùng được dặn phải cảnh giác với link lạ, file lạ, mã QR lạ. Nhưng WeChat lỗ hổng bảo mật lần này cho thấy ngay cả khi ta làm đúng mọi “mẹo an toàn” cơ bản, hệ thống vẫn có thể phản bội lại ta. Lý do là ở phần việc mà thiết bị và ứng dụng tự động thực hiện: tải dữ liệu, phân tích, chuyển đổi định dạng khi nhận tin nhắn, ảnh hay cuộc gọi qua Internet.
Như từng thấy với các tấn công zero‑click vào dịch vụ nhắn tin khác, lỗi nằm trong các bộ phận phần mềm “hậu trường” xử lý nội dung đến trước khi người dùng kịp làm gì. Người dùng bình thường không thể biết ứng dụng đang xử lý gói dữ liệu VoIP thế nào, càng không thể “tự xem lại” code trước khi nghe một cuộc gọi. Danh sách bạn bè càng làm mọi thứ nguy hiểm hơn: hệ thống coi đó là tài khoản hợp lệ với đặc quyền liên lạc, còn người dùng nhìn thấy tên và ảnh của người quen, trong khi phía sau có thể là kẻ tấn công đã chiếm quyền. Trách nhiệm ở đây không thể bị đẩy hết cho người dùng, mà là bài test về năng lực thiết kế an toàn của nhà phát triển.
Tencent đã vá lỗi, nhưng người dùng không được phép lơ là
Nhóm Calif đã báo cáo lỗ hổng cho nhà cung cấp, và phía phát triển đã phát hành bản vá trong các phiên bản WeChat Android 8.0.77 và iOS 8.0.76, đồng thời triển khai biện pháp giảm thiểu ở phía máy chủ. Theo tuyên bố được công bố, phương thức tấn công mà WeWorm dùng đã được vô hiệu hóa và hiện không có dấu hiệu lỗ hổng bị khai thác ngoài đời thực. Nói cách khác, “đám cháy lớn” đã được dập đúng lúc, nhưng không vì thế mà chúng ta có thể chủ quan.
Việc một biến thể tấn công đã bị chặn không đồng nghĩa mọi lỗ hổng liên quan đều biến mất. RCE lỗi VoIP lần này nhắc chúng ta rằng bất kỳ nền tảng liên lạc nào cũng có thể trở thành đường vào tài khoản, và sâu phần mềm có thể lây qua hàng triệu thiết bị chỉ bằng các cuộc gọi đến. Ở chiều ngược lại, mỗi bản cập nhật bảo mật không còn là “tùy chọn” mà là điều kiện tối thiểu để tiếp tục sử dụng một siêu ứng dụng gắn với công việc, tài chính và đời sống cá nhân. Nếu phải rút ra một kết luận, thì đó là: hãy xem cập nhật bảo mật như khóa cửa nhà – không chốt cửa, mọi biện pháp tự bảo vệ khác đều vô nghĩa.
