«В данном случае повреждение памяти в VoIP-стеке позволяло выполнить произвольный код уже во время входящего звонка — достаточно было находиться в контактах жертвы. После захвата аккаунта вредонос мог самостоятельно обзванивать других пользователей и продолжать цепочку заражения, фактически превращая доверенную социальную сеть контактов в механизм распространения атаки», — отметил эксперт.
Жертве не нужно отвечать на вызов, переходить по ссылкам или открывать файлы — достаточно, чтобы звонящий находился в списке контактов. После компрометации червь самостоятельно продолжает цепочку заражения.
Как пояснил Андрей Жданухин, речь идёт не только о переписке: скомпрометированный аккаунт позволяет действовать от имени пользователя, а в экосистеме WeChat присутствуют финансовые инструменты, официальные аккаунты и мини-приложения.
По словам эксперта, для GSOC компании «Газинформсервис» подобные сценарии интересны прежде всего с точки зрения выявления аномального поведения уже скомпрометированных учётных записей. «Сам факт эксплуатации мобильной уязвимости может оставаться незаметным для классического мониторинга, поэтому полезно искать последствия компрометации: резкое изменение модели коммуникаций, массовые исходящие сообщения или звонки, необычную активность аккаунта, появление новых устройств и нетипичные сетевые соединения», — пояснил руководитель группы аналитики L1 GSOC.
Добавим, что разработчики Tencent сообщили, что уже исправили уязвимость для всех пользователей.
А более подробно об актуальных вопросах кибербезопасности можно узнать на ежегодном форуме GISDAYS 2026 (Global Information Security Days*), который компания «Газинформсервис» проведёт уже в девятый раз с 30 сентября по 2 октября в Санкт-Петербурге и Москве.
*Global Information Security Days (GISDAYS) — дни глобальной информационной безопасности
