Un simple appel sur WeChat suffisait à pirater votre compte, sans même décrocher

Difficile d'imaginer, depuis la France, ce que WeChat représente en Chine. Si l'application permet d'envoyer des messages et de passer des appels, elle sert aussi à régler ses courses, commander un taxi ou un repas, à suivre ses comptes, et même à accéder à certains services publics. Elle couvre tellement d'usages que Tencent, son éditeur, revendiquait 1,439 milliard d'utilisateurs actifs mensuels fin juin, l'immense majorité en Chine. Ce qui implique qu'un problème avec cette super app n'est jamais petit.

C'est pourquoi les récents « exploits » de Calif ont de quoi donner la chair de poule. Cette entreprise de cybersécurité californienne a, en effet, présenté le 8 septembre dernier WeWorm, un ver informatique, soit un logiciel malveillant capable de se dupliquer et de se propager tout seul, sans aucune intervention humaine. Et ce dernier a des capacités terrifiantes, car la victime n'a rien à faire pour être compromise.

Une faille dans la gestion des appels

WeWorm fonctionne aussi bien sur iPhone que sur Android, et profite d'une faille qui concerne le système VoIP de WeChat, le composant qui gère les appels audio et vidéo. Il s'agit plus précisément d'un bug de corruption de mémoire au moment où le téléphone reçoit un appel, ce qui permet à l'attaquant d'exécuter du code sur l'appareil visé avant que son utilisateur ne réponde.

Il suffit donc que votre téléphone sonne pour être infecté. Seul le fait de refuser l'appel dans la seconde peut interrompre la tentative, mais rien n'empêche l'attaquant de rappeler plus tard, pendant votre sommeil, par exemple. Si la tentative réussit, WeWorm permet de lire et envoyer des messages, de passer des appels et de faire certaines actions en votre nom.

Seule condition toutefois : le pirate doit être dans votre liste de contacts. Une barrière toute relative, puisqu'il suffit de compromettre l'un de vos proches pour pouvoir vous infecter.

À noter qu'on parle ici de contrôler un compte, pas le téléphone de la victime. Il faudrait pour cela utiliser d'autres failles sur Android ou iOS, ce qui fait passer la difficulté à un niveau au-dessus. Et si WeChat propose aussi un système de paiement, celui-ci dispose de garde-fous supplémentaires que WeWorm ne peut pas outrepasser.

Prévenu dès juillet, Tencent a déployé des correctifs le 21 août dernier, avant de neutraliser la faille pour tout le monde côté serveur. Aucune action n'est donc requise pour les utilisateurs de WeChat, et la faille n'a vraisemblablement jamais été exploitée par des pirates.

Quand l'IA change tout

Mais voilà, si la super-app chinoise n'est plus concernée par ce problème, d'autres pourraient survenir dans les mois à venir, et pas seulement sur WeChat. Calif affirme avoir trouvé la faille et écrit son premier exploit en deux jours à peine grâce à l'IA, puis bâti le ver en une semaine. Pour vous donner une échelle, un chantier pareil réclamait autrefois des mois de travail à une équipe entière de développeurs.

Les chercheurs précisent d'ailleurs poursuivre le même type de travaux sur d'autres messageries. Les éditeurs d'autres services populaires pourraient donc bien avoir du pain sur la planche d'ici peu.

Alors, est-ce que ce genre de nouvelles implique que les messageries, et en fait tous les logiciels que nous utilisons aujourd'hui, sont devenus des passoires à cause de l'IA ? Oui, et non. Il est vrai que la technologie permet désormais de découvrir et d'exploiter des failles jusqu'ici inconnues à vitesse grand V. Mais les éditeurs peuvent aussi s'en servir pour les colmater plus vite que jamais.

Ce qui change le plus avec l'IA, ce n'est pas tant que nous soyons plus en danger qu'auparavant, mais que la guerre entre les développeurs et les pirates passe à une tout autre intensité. Il n'y a plus qu'à espérer que ce seront toujours les bons acteurs qui gagneront le plus souvent.

Source : Calif