SULAWESI BARAT — Celah keamanan di WeChat membuat akun pengguna bisa diretas hanya dengan panggilan masuk. Peneliti dari Calif menemukan masalah memory corruption pada tumpukan VoIP aplikasi tersebut, dan mendemonstrasikannya lewat worm buatan mereka bernama WeWorm.
WeChat sendiri dipakai sekitar 1,4 miliar orang dan berfungsi sebagai super-app: kirim pesan, panggilan suara dan video, transfer uang, bayar tagihan, pesan makanan, sampai akses layanan pemerintah. Kombinasi jangkauan dan fungsi pembayaran inilah yang membuat temuan ini masuk kategori serius.
Zero-click berarti korban tidak perlu melakukan apa pun untuk terinfeksi. Attacker cukup memanggil target yang sudah ada di daftar kontaknya lewat WeChat, dan begitu ponsel berdering, WeWorm mulai bekerja.
Korban tak perlu mengangkat telepon. Kalau diangkat, yang terdengar hanya senyap, sementara worm tetap berjalan. Kalau panggilan ditolak, serangan berhenti, tapi attacker tinggal menelepon lagi saat korban tidur atau jauh dari ponselnya.
Dalam hitungan detik, attacker mendapat akses ke akun WeChat korban: riwayat pesan, daftar kontak, dan hampir semua data lain di dalam aplikasi.
Yang paling dikhawatirkan tentu WeChat Pay, karena aplikasi ini dipakai untuk transfer uang dan pembayaran. Namun WeChat Pay punya autentikasi tambahan dan kontrol risiko yang dirancang mencegah pengambilan dana secara langsung.
Serangan ini berjalan di perangkat Android maupun iOS, tanpa memandang model atau versi sistem operasi. Calif memilih tidak membeberkan detail teknis untuk sekarang dan akan mendemonstrasikannya di sebuah konferensi mendatang.
Calif melaporkan temuan ini secara bertanggung jawab ke Tencent selaku induk WeChat. Tencent merespons dengan patch di versi 8.0.77 untuk Android dan 8.0.76 untuk iOS.
Catatan rilis resminya hanya menyebut "perbaikan bug" tanpa merinci apa pun. Dalam pernyataan ke The Hacker News, Tencent menyatakan eksploit sudah "dimigrasi untuk semua pengguna" dan diterapkan di sisi server, sehingga pengguna tak perlu memasang apa pun selain patch tersebut.
Perlu dicatat, WeChat juga punya aplikasi untuk HarmonyOS, Windows, Mac, dan Linux. Calif tidak menguji platform-platform itu, dan Tencent tidak menyertakannya dalam patch.
Sejauh ini tidak ada bukti celah ini dieksploitasi di dunia nyata. Kabar buruknya, ini bukan kasus pertama zero-click di ponsel modern dan hampir pasti bukan yang terakhir.
Calif menyatakan akan meneliti celah serupa di aplikasi lain. "Bug WeChat ini adalah satu contoh dari banyak permukaan serangan tak konvensional yang ada di berbagai aplikasi pesan," ujar mereka. "Kami sedang melakukan riset serupa di aplikasi dan permukaan serangan lain, sambil bekerja sama dengan pengembang aplikasi untuk mengurangi permukaan serangan."
Menurut mereka, upaya ini butuh kerja sama seluruh industri karena sebagian bergantung pada pemilik platform. Detail teknis lengkap akan dibagikan setelah risetnya lebih matang.
Karena patch diterapkan di sisi server, pengguna tidak punya langkah manual yang bisa dilakukan selain memastikan aplikasi diperbarui ke versi terbaru. Bagi pengguna di Indonesia yang memakai WeChat terutama untuk komunikasi bisnis dengan klien atau relasi di China, memperbarui aplikasi dan mengaktifkan verifikasi dua langkah tetap jadi langkah paling masuk akal.
Temuan ini juga jadi pengingat bahwa aplikasi super dengan akses ke pesan dan dompet digital menyimpan risiko yang jauh lebih besar daripada aplikasi chat biasa. Selama riset lanjutan Calif belum dipublikasikan, pengguna hanya bisa bergantung pada patch Tencent yang sudah berjalan diam-diam di server mereka.