Especialistas en ciberseguridad de la firma Calif desarrollaron en poco más de una semana una herramienta maliciosa denominada WeWorm, capaz de propagarse de manera autónoma a través de WeChat. Según la nota original, se trataba de un ataque de clic cero que podía infectar un teléfono sin que la víctima abriera un enlace. Tencent confirmó la existencia de la vulnerabilidad y aseguró que la falla fue corregida en sus servidores.
El mecanismo aprovechaba los permisos asociados a los contactos registrados como amigos dentro de la aplicación. Para iniciar la intrusión, el atacante realizaba una llamada al objetivo y, si la persona atendía o dejaba sonar el teléfono, el equipo podía quedar comprometido. Una vez vulnerada la cuenta, el atacante podía acceder a conversaciones privadas y utilizar ese mismo número para continuar propagando el ataque entre los contactos de la víctima.
La herramienta afectaba tanto a dispositivos con Android como a equipos de Apple y utilizaba WeChat como medio de propagación. El desarrollo requirió supervisión humana durante todo el proceso y combinó herramientas de inteligencia artificial con otros recursos técnicos para detectar fallas de programación. Tencent aplicó una actualización interna en su infraestructura y sostuvo que no se registraron usuarios afectados ni filtraciones de información sensible como consecuencia de la vulnerabilidad.