微信零点击蠕虫 WeWorm 曝光 AI 协助挖洞 14 亿用户受影响

导语：手机响了一声，挂了——再响一声，挂了——再响一声。这次你妈、你同事、你老板都在给你打微信电话。手机还在你手里，但微信已经不是你的了。加州安全公司 Calif 9 月 8 日公开的研究显示：仅凭一个响铃，攻击者就能完整接管你的微信账号，然后让你的微信去呼叫你的下一个好友。一个蠕虫，一晚上传遍整个通讯录。

事件概述

加州安全公司 Calif（位于美国帕罗奥图）9 月 8 日发布研究，公开 WeWorm——首个通过微信电话在 iOS 和 Android 之间跨平台传播的零点击蠕虫 demo。配套披露的还有两个独立的 RCE（远程代码执行）视频，分别针对 Android 和 iOS。同步上线的还有《纽约时报》的专题报道。

研究团队仅用三台手机搭起完整 demo：

攻击者：一台 Pixel 10a（Android）
第一受害者：一台 iPhone 17e（iOS）
第二受害者：另一台 Pixel 10a（Android）

攻击者呼叫第一受害者，响铃过程中漏洞触发，微信账号被完全接管；被接管的 iPhone 立刻用同样的方式呼叫第二受害者，第二台 Pixel 10a 也被拿下。攻击者呼叫受害者，受害者变成攻击者，受害者呼叫下一个受害者。蠕虫自传播链条就此跑通。

漏洞原理

漏洞定位在微信的 VoIP（网络电话）协议栈内存破坏问题。加州团队在公开文中主动保留了完整技术细节，只透露：

漏洞类型：内存破坏（memory corruption）
触发面：微信电话呼叫过程中的协议处理路径
利用前提：攻击者必须在受害者微信好友列表里
利用结果：RCE 拿下微信进程，进一步获得账号完全控制

Calif 表示完整技术分析计划在后续安全会议上公开。详细 PoC 暂未释放。

几个值得红队注意的细节

1. 零点击 受害者不需要接电话。响铃中漏洞就已经触发完成——接了也救不了，因为”对方听不到任何声音”，攻击已经成功。唯一能挡住的只有主动挂断，但攻击者换个时间再来，比如趁你睡觉，响铃几次总有一次你懒得拒。

2. 信任模型反噬 微信对好友赋予更高权限，这是几乎所有 IM（即使通讯软件）的设计——好友发来的链接、文件、电话更可信。但一旦好友列表里任意一个被攻陷，攻击者就获得了进入你信任圈的”门票”。攻击者甚至不需要先进你的好友列表：先攻陷你通讯录里最薄弱的一环，再借道接近你。

3. 整台设备的链式放大 微信本身被拿下后，加州团队提到”如果与他们之前披露的 Android OEM 漏洞 OEMpocalypse（OEM 末日）以及 iOS 漏洞链式组合，最终可以做到整台设备的完全控制”。换句话说，WeWorm 是个账号级 RCE，配合 OEM 漏洞是设备级 RCE。

4. AI 加速发现与武器化 从 AI 发现漏洞到工程团队意识到，1 天；从写 Android RCE 到完成，1 周；iOS RCE 3 天；蠕虫 demo 9 天。总投入 2 人 2 周。这与 2017 年 WannaCry（永恒之蓝蠕虫）那种国家级团队数月工作量的对比是显性的——AI 把武器化的成本曲线压到了业余选手都能摸到的高度。