A Tencent corrigiu uma vulnerabilidade de segurança crítica em seu superapp WeChat, que conta com mais de 1,4 bilhão de usuários. A falha permitia que um invasor tomasse controle total de uma conta simplesmente ao realizar uma chamada de voz, mesmo que a vítima não atendesse. A descoberta, apelidada de “WeWorm”, foi feita por pesquisadores da empresa de segurança Calif, segundo reportagem do The Register.

O incidente vai além de um simples bug. O ponto central é a metodologia: os pesquisadores afirmam ter usado inteligência artificial para identificar a brecha de corrupção de memória e desenvolver um exploit de execução remota de código (RCE) em aproximadamente dois dias. O episódio ilustra uma mudança tectônica no cenário da cibersegurança, onde a capacidade de criar armas digitais sofisticadas deixa de ser um monopólio de atores estatais com vastos recursos.

Aceleração por IA

O ataque demonstrado pela Calif era do tipo “zero-clique”, não exigindo qualquer interação do alvo. Um invasor que estivesse na lista de contatos da vítima poderia iniciar a chamada e, em segundos, assumir o controle da conta. A partir daí, seria possível ler e enviar mensagens, realizar chamadas e, crucialmente, usar a conta comprometida para propagar o ataque para outros contatos, criando um efeito em cascata. A única forma de evitar a infecção era recusar a chamada ativamente; deixá-la tocar ou atendê-la resultava na tomada da conta.

O que torna o “WeWorm” um marco não é apenas sua capacidade de se espalhar autonomamente, mas a velocidade de sua criação. A aplicação de IA para auditoria de código e desenvolvimento de exploits reduz drasticamente o tempo e o esforço necessários para transformar uma vulnerabilidade teórica em uma ameaça prática. A Calif publicou suas conclusões, segundo a empresa, para alertar sobre como essa tecnologia pode democratizar o acesso a ciberataques complexos.

Implicações e a nova fronteira

O potencial de dano era ainda maior. Os pesquisadores afirmaram que a vulnerabilidade no WeChat poderia ser encadeada com outras falhas, tanto no Android quanto no iOS, para escalar o ataque de um controle de conta para um controle total do dispositivo. Embora a cadeia completa do ataque não tenha sido divulgada, a simples possibilidade eleva a gravidade do incidente a outro patamar.

Especialistas em segurança, como um professor da Universidade de Georgetown ouvido pela reportagem, classificaram a descoberta como “um incidente extremamente sério”. O caso sublinha a urgência de cooperação internacional, especialmente entre Estados Unidos e China, à medida que a IA acelera a escala e a severidade das ameaças digitais. A barreira de entrada para a criação de ciberataques em massa está diminuindo rapidamente.

A Tencent agiu para corrigir a brecha em 21 de agosto, após a notificação dos pesquisadores. No entanto, o episódio serve como um alerta contundente. A discussão sobre a segurança de uma plataforma agora precisa considerar não apenas a existência de falhas, mas a velocidade com que a inteligência artificial pode transformá-las em armas. A questão não é mais se uma brecha pode ser explorada, mas quão rápido.

Com reportagem de Brazil Valley

Source · The Register