Telefonu açmadan hesap çalınıyor: WeChat solucanına karşı YZ 2 günde saldırı kodu yazdı

Sadece bir sesli arama ile kullanıcı hesabını ele geçirip arkadaş listesine yayılan, tıklama gerektirmeyen (zero-click) bir solucan geliştirildi. Saldırı, kurban telefonu açmasa veya cihazına dokunmasa bile gerçekleşebiliyor.

ABD’nin Kaliforniya eyaletindeki Palo Alto merkezli siber güvenlik şirketi Calif, 8 Eylül’de (yerel saatle) yayımladığı araştırma raporunda, WeChat’in internet üzerinden sesli arama (VoIP) işlemlerinde bulunan bir bellek bozulması açığından yararlanan “WeWorm” adlı saldırı aracını duyurdu.

Şirketin açıklamasına göre, saldırgan kurbanın WeChat arkadaş listesinde kayıtlı bir hesaptan arama yaptığında, kurbanın hesabı ele geçirilebiliyor. Ele geçirilen hesap ise ardından listedeki diğer arkadaşları arayarak saldırının zincirleme şekilde yayılmasını sağlıyor.

Calif, kurbanın aramayı yanıtlamasa bile saldırının başarılı olduğunu belirtti. Arama yanıtlansa dahi herhangi bir ses duyulmadan saldırı devam ediyor ve hesabın tamamen ele geçirilmesi yalnızca birkaç saniye sürüyor.

Saldırının bazı sınırlamaları da var. Saldırganın önceden kurbanın WeChat arkadaş listesinde kayıtlı olması gerekiyor. Calif, saldırının bir Pixel 10a cihazından iPhone 17e’ye, oradan da başka bir Pixel 10a cihazına nasıl yayıldığını canlı olarak gösterdi.

WeWorm, WeChat’in sesli arama özelliğini saldırı kapısı olarak kullanıyor ve arama sırasında ortaya çıkan bellek bozulması açığından faydalanıyor. Ancak Calif, açığın teknik detaylarını henüz kamuoyuyla paylaşmadı.

Şirket, kapsamlı teknik analizi ilerleyen dönemde düzenlenecek bir siber güvenlik konferansında sunacağını açıkladı. Açığa şu ana kadar herhangi bir CVE numarası atanmadı.

Dikkat çeken bir diğer nokta ise açığın bulunması ve saldırı aracının geliştirilmesinde yapay zekadan (YZ) yararlanılması oldu. Calif, YZ ile birlikte çalışan ekibin yaklaşık iki gün içinde açığı bulup ilk uzaktan kod çalıştırma (remote code execution) aracını yazdığını, solucanın tam olarak tamamlanmasının ise yaklaşık bir hafta daha sürdüğünü açıkladı.

Bununla birlikte saldırı hedeflerinin belirlenmesi ve güvenli test yönteminin oluşturulması araştırma ekibi tarafından yapıldı. Calif, hangi YZ modelinin kullanıldığını açıklamadı.

Calif’in paylaştığı zaman çizelgesine göre YZ, açığı Temmuz ayı içinde buldu. Ekip, Android için uzaktan kod çalıştırma aracını 30 Temmuz’da, iOS sürümünü ise 2 Ağustos’ta tamamladı.

Araştırmacılar, Android ve iOS’u birbirine bağlayan solucan gösterimini 11 Ağustos’ta tamamladı. Calif, açığı 24 Temmuz’da Tencent’e bildirdiğini, 3 Eylül’de ise teknik analiz ve çalışan aracı şirkete ilettiğini belirtti.

Tencent(0700.HK), Android için 8.0.77, iOS için ise 8.0.76 sürüm yamasını yayımladı. Calif, sunucu tarafında uygulanan engelleme önleminin 26-28 Ağustos tarihleri arasında tüm kullanıcılara uygulandığını doğruladığını açıkladı.

Sunucu tarafı engelleme, kullanıcının herhangi bir işlem yapmasına gerek kalmadan devreye giren bir koruma yöntemi. Tencent, açığın varlığını doğrulayıp yamayı tamamladığını belirtti ancak etkilenen hesap sayısını kamuoyuyla paylaşmadı.

Tencent’in Ağustos ayında açıkladığı 2026 yılı 2. çeyrek finansal sonuçlarına göre, WeChat ve Weixin’in birleşik aylık aktif kullanıcı sayısı 30 Haziran itibarıyla 1 milyar 439 milyona ulaştı. Bu vaka, geniş kullanıcı kitlesine sahip mesajlaşma uygulamalarındaki arama özelliğinin de hesap yayılımlı saldırılara kapı aralayabileceğini gösterdi.

Zero-click saldırı, kullanıcının bir bağlantıya tıklaması veya dosya açması gibi herhangi bir işlem yapmasına gerek kalmadan gerçekleştirilen saldırı türünü ifade ediyor. Solucan ise enfekte olmuş bir cihazdan veya hesaptan başka hedeflere kendiliğinden yayılabilen kötü amaçlı bir yazılım.

Calif, WeChat açığına dair tüm teknik detayları ilerleyen dönemde düzenlenecek siber güvenlik konferansında paylaşacağını duyurdu.