试想，手机响起，屏幕上显示的是一名久未联系的朋友。你还在犹豫要不要接听，短短几秒间，自己的微信账号就已落入黑客手中。
来电的并非老朋友，而是控制了对方账号的黑客。接下来，你的账号也成了攻击工具：黑客冒用你的身份，向微信好友拨打电话，让攻击沿着社交关系链不断蔓延。
这看似科幻电影里的情景，却已被美国网络安全公司Calif的研究人员借助人工智能（AI），通过一套实验性攻击工具实现。
这家总部位于美国加州的公司星期二（9月8日）在博客文章介绍，实施攻击的是一款名为WeWorm的蠕虫程序。它仅凭一通微信语音来电，就能在无需任何用户操作的情况下取得账号控制权。
所幸，这款网攻工具没有流入黑客市场。Calif团队7月通报漏洞后，腾讯已于8月底完成修复。腾讯星期三（9月9日）也表示，没有证据显示漏洞曾被利用或有用户受影响。
不过，这场实验仍挑战了人们熟悉的网络安全常识。不点陌生链接、不下载可疑文件，通常能避开不少陷阱，但面对“零点击”攻击，用户即使什么也没做，账号都有可能失守。
Calif指出，无论用户接听来电还是任由电话响铃，攻击都可能奏效；只有在响铃后的数秒内主动按下“拒接”，才能阻止入侵，但这仍无法阻止攻击者稍后重试。
账号失守后，攻击者不仅能读取和发送信息、拨打电话，还能冒用受害者身份继续攻击其他好友。若结合其他漏洞，甚至可能控制整部手机。
Calif星期二在YouTube发布视频，演示WeWorm如何跨系统传播：最左侧的安卓手机Pixel 10a先通过微信来电，攻陷中间iPhone 17e的微信账号，再利用该账号向右侧另一部Pixel 10a拨打电话，继续传播攻击。
视频截图
在演示中，左侧iPhone 17e的微信账号被接管后，自动向右侧Pixel 10a拨打微信语音电话，继续入侵后者的账号，展示受害账号如何成为传播攻击的工具。
视频截图
这种自行传播的能力，正是“蠕虫”程序的特征。但Calif指出，WeWorm危险的地方在于它是首个能在苹果iOS和谷歌Android两大系统之间传播的零点击蠕虫。
审阅了这份实验报告的网络安全专家Vinh Nguyen告诉《纽约时报》，这类攻击可呈指数式扩散，理论上几小时内可能波及数亿台设备。
转自：联合早报
热门跟贴