Was passiert
Forschern des Sicherheitsunternehmens Calif ist es gelungen, eine kritische Sicherheitslücke in WeChat zu identifizieren, in deren Folge sie einen funktionsfähigen Wurm – intern WeWorm genannt – entwickeln konnten. Das Besondere an dieser Schwachstelle: Sie ermöglicht die Verbreitung von Malware über WeChat-Anrufe ohne jegliche Benutzerinteraktion. Der Wurm wurde bereits privat an Tencent, den Betreiber von WeChat, gemeldet.
Die Funktionsweise von WeWorm ist problematisch: Nachdem der Wurm auf einem Gerät ausgeführt wird, kapert er das WeChat-Konto des Nutzers. Danach greift er auf die in WeChat gespeicherten Kontakte zu und missbraucht diese zur weiteren Verbreitung. Der Wurm nutzt dann automatisiert Anrufe, um sich an jeden Kontakt zu verbreiten – wiederum ohne dass die Zielnutzer aktiv werden müssen. Dies eröffnet ein exponentielles Ausbreitungsszenario: Theoretisch könnten Millionen von Geräten innerhalb weniger Stunden infiziert werden.
Das besondere Gefährliche an diesem Ansatz ist der sogenannte Zero-Click-Charakter. Im Gegensatz zu traditionellen Malware-Verbreitungsmechanismen, die meist eine Nutzeraktion erfordern (Link anklicken, Datei öffnen, Bestätigung), erfolgt die Kompromittierung hier völlig transparent. Der Nutzer registriert nicht einmal, dass sein Gerät infiziert oder sein Konto übernommen wird – bis es möglicherweise zu spät ist.
Die Verbreitung funktioniert plattformübergreifend: Der Wurm kann von Smartphones unabhängig des verwendeten Betriebssystems auf andere Geräte springen. Das bedeutet, dass iOS- und Android-Nutzer gleichermaßen gefährdet sind. Eine solche Cross-Platform-Verbreitung macht die Gefährdung besonders brisant, da traditionelle Sicherheitsmaßnahmen, die auf einzelne Betriebssysteme ausgerichtet sind, hier greifen könnten, aber letztlich bei einem plattformübergreifenden Wurm wenig nutzen.
Calif hat nach eigenen Angaben die Schwachstelle verantwortungsvoll offengelegt und Tencent die notwendigen Informationen für einen Fix zur Verfügung gestellt. Die genauen technischen Details der Lücke wurden noch nicht öffentlich gemacht, um Missbrauch zu verhindern, bis Tencent ein Patch veröffentlicht hat.
Einordnung
Zero-Click-Schwachstellen sind in der Sicherheitsforschung seit Jahren ein Thema, wurden aber lange Zeit vor allem im Kontext von Spyware oder staatlich geförderten Angriffstools diskutiert – etwa bei NSO Groups Pegasus. Dass nun eine solche Lücke auch in einer Mainstream-Messaging-Plattform wie WeChat ausgenutzt werden kann, unterstreicht, wie kritisch diese Angriffsvektor-Klasse geworden ist.
WeChat selbst ist nicht irgendeine Anwendung: Mit über eine Milliarde aktiver Nutzer weltweit, besonders in China und der chinesischen Diaspora, ist WeChat eine der meistgenutzten Messaging-Plattformen überhaupt. Eine unkontrollierte Wurmverbreitung über diese Plattform hätte potenziell globale Auswirkungen. Der Kontext ist dabei wichtig: WeChat ist in China nicht nur Messenger, sondern auch Payment-System, Social-Media-Plattform und für viele Menschen ein unverzichtbares Werkzeug des alltäglichen Lebens und der Geschäftstätigkeit.
Die Tatsache, dass Calif die Lücke zunächst privat Tencent meldete statt sie öffentlich zu machen, entspricht dem Standard der verantwortungsvollen Offenlegung (Responsible Disclosure). Das gibt Tencent Zeit, einen Fix zu entwickeln, bevor Cyberkriminelle die Lücke ausnutzen können. Allerdings bleibt während dieser Phase ein Zeitfenster der Verwundbarkeit – und es ist nicht bekannt, ob Tencent die Schwachstelle bereits schließen konnte oder ob sie noch aktiv ist.
Im breiteren Kontext zeigt sich hier ein bekanntes Muster: Messaging-Plattformen, besonders solche mit großer Nutzerbasis, sind bevorzugte Ziele für Wurmentwicklung, weil die sozialen Graphen bereits eingebaut sind. Der Wurm muss nicht selbst Ziele finden – er nutzt die vorhandenen Kontaktlisten. Das macht solche Plattformen zu natürlichen Vektoren für schnelle, unkontrollierte Verbreitung.
Was das bedeutet
Diese Lücke demonstriert ein fundamentales Problem der modernen Messaging-Infrastruktur: Die Grenzen zwischen Benutzerfreundlichkeit und Sicherheit werden immer dünner. Um Nutzer zu schützen, haben Plattformen wie WeChat Auto-Answer-Features oder schnelle Call-Protokolle implementiert – diese gleichen Features werden aber zur Angriffsfläche, wenn eine kritische Lücke existiert.
Für Nutzer heißt das konkret: Solange kein Patch verfügbar ist, könnte ein einzelner infizierter Kontakt in der WeChat-Liste ausreichen, um das eigene Konto zu kompromittieren – ohne dass man überhaupt etwas tun muss. Das ist ein Szenario, gegen das klassische Nutzerschulung ("Klickt nicht auf verdächtige Links") vollkommen wirkungslos ist. Die Angriffsfläche liegt auf der Plattformseite, nicht auf der Nutzerseite.
