Pesquisadores da empresa de segurança Calif criaram, com ajuda de inteligência artificial, uma ferramenta capaz de invadir celulares sem que a vítima clique em links ou arquivos. O sistema foi desenvolvido em pouco mais de uma semana.
Chamado WeWorm, o ataque explorou uma vulnerabilidade que permitia assumir contas e se espalhar entre os contatos. Especialistas ouvidos pelo The New York Times disseram que centenas de milhões de dispositivos poderiam ser atingidos em poucas horas.
Ataque sem clique
A ameaça usa uma técnica conhecida como zero-click. Diferentemente do phishing, que depende da abertura de um link ou arquivo, o ataque não exige esse tipo de interação.
Segundo a Calif, atender uma chamada ou simplesmente deixá-la tocar poderia permitir a infiltração. Para impedir o ataque, seria necessário recusar a ligação segundos depois do primeiro toque.
Após assumir a conta, o invasor poderia ler e enviar mensagens, fazer chamadas e controlar o perfil. Em determinadas condições, o acesso também poderia levar ao comprometimento completo do telefone.
A confiança ajuda o ataque
O worm explorava a maneira como o aplicativo concedia privilégios adicionais a números salvos como amigos. Depois que um contato era comprometido, essa relação de confiança ajudava a ameaça a alcançar outros números da agenda.
