Eksploitasi Zero-Click WeChat

Eksploitasi Zero-Click WeChat – Dunia keamanan siber kembali dikejutkan oleh temuan kerentanan tingkat tinggi yang melibatkan aplikasi perpesanan populer.

Para peneliti keamanan siber berhasil merancang sebuah cacing komputer (worm) otonom yang mampu mengambil alih akun WeChat secara penuh hanya melalui panggilan masuk (incoming call), tanpa memerlukan intervensi atau sentuhan sama sekali dari target (zero-click attack).

Eksploitasi canggih ini telah didemonstrasikan berhasil menyebar secara otomatis di antara beberapa perangkat pengujian yang berbeda.

Anatomi Serangan Zero-Click dan Peran AI

Mekanisme serangan ini bekerja dengan memanfaatkan celah keamanan pada fitur panggilan WeChat dengan karakteristik utama sebagai berikut:

Tanpa Intervensi Target: Orang yang ditelepon tidak perlu mengangkat atau menyentuh ponsel mereka agar eksploitasi sukses berjalan. Bahkan, jika korban mengangkat panggilan, mereka tidak akan mendengar apa pun, dan jika panggilan ditolak, penyerang dapat menelepon kembali di lain waktu (misalnya saat target sedang tidur).
Prasyarat Kontak: Penyerang harus sudah terdaftar sebagai salah satu kontak di dalam daftar pertemanan korban. Namun, tingkat kepercayaan (trust) bawaan yang diberikan WeChat kepada daftar kontak justru berbalik menjadi celah bagi penyerang untuk menginfeksi lingkaran pertemanan secara berantai.
Demonstrasi Rantai Penularan: Dalam pengujian laboratorium, sebuah ponsel Android menelepon iPhone dan mengambil alih WeChat-nya saat ponsel masih berdering. Selanjutnya, iPhone yang telah dikompromikan tersebut menelepon ponsel Android kedua dan mengambil alih kendali dengan cara serupa.
Peran Kecerdasan Buatan: Tim peneliti menggunakan seperangkat keterampilan khusus yang memandu AI untuk menjelajahi permukaan serangan pada aplikasi perpesanan. AI berhasil menemukan celah ini dalam waktu sekitar dua hari, sementara pembangunan cacing otonomnya memerlukan waktu tambahan satu minggu.

Dampak Pengambilalihan Akun dan Skala WeChat

Setelah kode eksploitasi berjalan, penyerang mendapatkan kendali penuh atas akun WeChat target, yang mencakup:

Kemampuan membaca dan mengirim pesan, melakukan panggilan, serta bertindak sepenuhnya sebagai pemilik sah akun.
Mengingat WeChat bukan sekadar aplikasi percakapan—melainkan ekosistem masif yang mencakup layanan pembayaran digital, akun resmi, dan berbagai aplikasi mini (mini programs)—dampak kerugian finansial maupun privasi bagi pengguna bisa sangat fatal.
Berdasarkan laporan kuartal kedua, Tencent mencatat jumlah pengguna aktif bulanan gabungan untuk WeChat dan Weixin mencapai 1,439 miliar jiwa.

Respons Pengembang dan Penanganan Celah

Menanggapi laporan kerentanan yang disampaikan oleh para peneliti:

Pihak pengembang (Tencent) langsung mengambil tindakan pengamanan dengan merilis versi pembaruan perangkat lunak (versi 8.0.77 untuk Android dan 8.0.76 untuk iOS).

Para peneliti mengonfirmasi bahwa pembaruan tersebut berhasil memitigasi kutu (bug) dan Tencent telah menerapkan blokir keamanan langsung dari sisi peladen (server-side).

Blokir server-side ini membuat pengguna terlindungi tanpa harus selalu memperbarui aplikasi secara manual, meskipun menjalankan versi terbaru tetap menjadi pilihan teraman.

Saran dan Mitigasi Keamanan

Meskipun pengembang telah menutup celah ini dari sisi server, ancaman eksploitasi berbasis aplikasi serupa menuntut pengguna dan organisasi untuk menerapkan langkah-langkah mitigasi berikut:

1. Pembaruan Aplikasi Berkala.

Selalu pastikan aplikasi perpesanan dan sistem operasi di perangkat Anda berada pada versi terbaru untuk mendapatkan patch keamanan resmi dari pengembang.

2. Batasi Kontak Asing.

Jangan sembarang menerima atau menambahkan kontak baru ke dalam daftar pertemanan aplikasi obrolan guna meminimalisir risiko awal penyerang menyusup ke lingkaran tepercaya Anda.

3. Waspadai Panggilan Tak Dikenal.

Jika mengalami anomali pada ponsel seperti panggilan masuk misterius berulang kali tanpa suara saat diangkat, segera periksa perangkat atau putuskan koneksi internet sementara waktu.

4. Keamanan Ekosistem Finansial.

Aktifkan autentikasi tambahan (seperti PIN atau biometrik) untuk setiap transaksi pembayaran digital yang terhubung dengan aplikasi pesan instan guna mencegah penyalahgunaan akun.

Baca artikel lainnya: