AI가 이틀 만에 WeChat 웜 제작 — 전화를 받지 않아도 계정이 탈취된다

WeWorm은 제로클릭 웜으로, 사용자의 어떤 조치도 없이 기기를 장악한다. 공격은 위챗을 통한 수신 전화로 이루어진다. 표적이 전화를 받을 필요는 없다. 익스플로잇은 통화 연결음이 울리는 단계, 즉 휴대폰이 사용자에게 알리고 사용자가 거절 또는 수락하기 전의 틈새에서 작동한다.

취약점은 위챗의 VoIP 스택, 즉 통화를 관할하는 코드에 위치해 있다. 그 코드의 메모리 손상 결함으로 인해 Calif의 보안 연구원들이 원격 장치에서 임의 명령을 실행할 수 있었다. 웜이 활성화되면 메시지를 읽고 전송하며, 전화를 걸고, 계정 소유자를 사칭한 후 해당 인물의 연락처로 전화를 걸어 이러한 체인을 반복한다.

결함 자체보다 더 주목할 점은 속도다. Calif 팀은 AI를 활용해 취약점을 찾아내고 첫 번째 작동 가능한 원격 코드 실행 익스플로잇을 약 이틀 만에 작성했다. 전체 웜을 조립하는 데는 추가로 일주일이 걸렸다. 처음부터 실전 배치 가능한 무기를 만드는 데 걸린 이 10일은 몇 년 전만 해도 잘 갖춰진 팀이라면 대단한 성과였을 것이다. 연구원들은 AI 도구가 소규모 팀이 개발할 수 있는 수준의 기준을 낮춰, 이전에는 전문성이 부족했던 공격자들도 이러한 작업을 수행할 수 있게 해준다고 말한다.

영향력은 막대하다. 위챗은 10억 명 이상의 사용자를 보유하고 있으며, 중국에 집중되어 있지만 중국어권 커니티와 국제적인 설치 기반을 통해 전 세계에 존재한다. 실험실 시연에서, 손상된 안드로드 기기가 아이폰을 감염시켰고, 그 아이폰이 다시 두 번째 안드로이드를 감염시켰다. 연구원들은 연락처 목록을 통해 — 위챗 사용자는 보통 수백 명의 연락처를 갖고 있다 — 이론상 수 시간 안에 수백만 대의 기기에 도달할 수 있을 것으로 추정한다.

현실적인 한계도 있다. 공격을 위해서는 최초 공격자가 이미 표적의 연락처 목록에 등록되어 있거나, 그런 사람을 먼저 감염시켜야 한다. 웜은 위 계정에 대한 제어권을 제공하며, 기기 자체는 제어하지 않는다 — 다만 Calif의 연구원들은 추가 취약점과 연계하면 실험실 테스트에서 기기 전체를 장악할 수 있었다고 언급한다. 텐센트는 패치가 배포되기 전에 이 결함이 실제 환경에서 악용된 증거는 발견되지 않았다고 밝혔다.

텐센트는 7월 24일 Calif의 제보를 접수했다. 패치 버전은 8월 21일에 배포되었다 — 안드로이드 8.0.77 및 iOS 8.0.76. 8월 28일에 확인된 서버 측 완화 조치는 업데이트하지 않은 사용자도 네트워크 수준에서 보호된다는 것을 의미한다. 현재 버전의 위챗 사용자에게는 잔여 위험이 없다. CVE 번호나 공식적인 텐센트 보안 권고는 발표되지 않았다.

Calif는 업계 전반의 완화 조치가 진전된 후 더 포괄적인 기술 공개를 계획하고 있으며, 컨퍼런스 발표가 예상된다. 이 연구가 명확히 보여주는 것은 타임라인이다: 널리 사용되는 메시징 앱에서 이와 같은 취약점에 대해, AI 지원 팀이 발견에서 실전 배치 가능한 웜으로 전환하는 데약 10일이 걸렸다는 것이라.

태그: 사이버보안, AI 보안, Calif, Tencent, WeChat, 제로클릭 익스플로잇