WeWorm — iOS와 Android를 가로질러 WeChat 통화로 전파되는 최초의 제로클릭 웜

본문

보안 연구 회사 Calif는 WeChat 통화를 통해 iOS와 Android를 가로질러 전파되는 최초의 제로클릭(zero-click) 웜 'WeWorm'의 데모를 공개했습니다. 이 연구는 모바일 메시징 앱의 제로클릭 공격 표면을 탐구하는 시리즈의 첫 번째 결과물로, 중국 내 사실상 모든 사람과 전 세계 중국어 사용자 커뮤니티가 쓰는 '만능 앱' WeChat을 표적으로 삼았습니다. 공격자가 피해자에게 전화를 거는 것만으로 계정을 탈취하고, 탈취된 계정이 다시 친구에게 전화를 걸어 전파되는 구조로, 악용될 경우 10억 대 이상의 기기와 계정이 위험에 노출될 수 있다고 연구팀은 설명합니다.

데모의 구성과 동작 방식

데모에는 3대의 폰이 사용됐습니다. 첫 번째 Android 폰(Pixel 10a)이 공격자 역할을 하고, 이 폰이 두 번째 폰인 iPhone 17e에 전화를 걸어 벨이 울리는 동안 버그를 익스플로잇해 WeChat을 장악했습니다. 이어 감염된 iPhone이 세 번째 폰인 또 다른 Pixel 10a에 전화를 걸어 동일한 방식으로 탈취했습니다. 공격자가 피해자에게 전화를 걸면 피해자가 공격자가 되고, 다시 다음 피해자에게 전화를 거는 연쇄가 이뤄진 셈입니다. 익스플로잇은 수 초면 완료되며 WeChat 계정에 대한 완전한 통제권을 제공해 메시지 읽기와 전송, 통화, 피해자를 대신한 행위가 가능합니다. 연구팀이 별도로 보고해 수정을 돕고 있는 다른 Android·iOS 버그와 체이닝하면 기기 전체 장악까지 이어질 수 있다고 밝혔습니다.

피해자는 전화를 받을 필요도, 폰을 만질 필요도 없습니다. 전화를 받아도 아무 소리도 들리지 않고 익스플로잇은 그대로 성공하며, 수신을 거절하면 그 시도만 무산될 뿐 공격자는 피해자가 잠든 시간 등에 다시 시도할 수 있습니다. 공격자가 피해자의 친구 목록에 있어야 한다는 제약이 있지만, 연구팀은 이것이 큰 장벽이 아니라고 지적합니다. 공격자가 먼저 친구 한 명을 감염시켜 그 계정으로 접근하면 되기 때문입니다. WeChat을 비롯한 메시징 앱들은 신뢰된 연락처에 더 많은 권한을 부여하는데, 연락처 하나가 탈취되면 그 신뢰가 오히려 사용자에게 불리하게 작동한다는 것입니다.

AI가 바꾼 공격 비용

연구팀은 AI와 협업해 버그를 발견하고 첫 RCE 익스플로잇을 약 이틀 만에 작성했으며, 웜 완성까지는 추가로 일주일이 걸렸습니다. 이 규모의 웜은 과거에는 더 큰 팀이 수개월을 투입해야 하는 작업이었다고 연구팀은 회고합니다. AI가 이미 이 작업의 대부분을 수행할 수 있으며, 팀은 무엇을 표적으로 삼고 어떻게 안전하게 테스트할지에 대한 판단을 제공했다고 설명합니다. 이들이 연구 결과를 공개하는 이유는 대중의 경각심을 높이기 위해서입니다. 이러한 공격 능력은 이미 충분한 자금과 역량을 갖춘 행위자들의 손에 오래전부터 있었고, 달라진 점은 AI가 이 능력을 기술이 낮은 행위자에게까지 넓히고 있다는 것입니다. 미완성 버전을 누군가 손에 넣는 실험실 사고 한 번이면 세계가 준비되기 전에 WeWorm 같은 것이 풀려날 수 있으며, WannaCry가 실제로 그런 경로로 유출돼 병원들을 타격했다고 지적합니다. 다만 연구팀은 AI를 탓하고 개발을 억제하는 것은 잘못된 교훈이라고 주장합니다. 취약점은 이미 존재하며, AI가 바꾼 것은 그것을 빨리 찾아 고칠 수 있게 됐다는 점이기 때문입니다.

버그의 정체와 공개 타임라인

버그는 WeChat의 VoIP 스택에 존재하는 메모리 손상 취약점으로, 기술적 세부 사항은 향후 컨퍼런스 발표 때까지 비공개로 유지됩니다. 공개 타임라인은 흥미롭습니다. 2026년 7월 AI가 버그를 발견했고, 7월 24일 Tencent에 보고했습니다. 직후인 7월 25~28일 연구팀의 WeChat 계정이 정지됐다가 29일 해제됐고, 7월 30일 Android RCE, 8월 2일 iOS RCE, 8월 11일 양 플랫폼을 가로지르는 웜 데모가 완성됐습니다. Tencent는 8월 21일 Android 8.0.77과 iOS 8.0.76을 배포해 버그를 완화했고, 8월 28일에는 서버 측에서 전 사용자에 대해 익스플로잇이 무력화됐음을 확인했습니다. 9월 4일 Tencent는 원격 명령 실행이 가능한 취약점임을 공식 확인했습니다. 연구팀은 이 WeChat 버그가 여러 메시징 앱에 존재하는 비정형 공격 표면의 한 사례일 뿐이라며, 다른 앱과 공격 표면에 대한 연구를 계속 진행 중이라고 밝혔습니다.

Reddit 반응

• @u/TheG0AT0fAllTime — "7월 24일: Tencent에 버그 제출. 7월 25~28일: 우리 WeChat 계정 정지. 하하, 그래. 짜증 나는 첫 반응이네"라며 보고 직후 계정 정지라는 Tencent의 초기 대응을 꼬집었습니다.
• @u/ni5arga — 지금까지 본 제로클릭 익스플로잇 중 가장 흥미로운 사례 중 하나라고 평가했습니다.

원문: Calif / 번역·요약: Trawling