سیکیورٹی فرم کیلیف کے محققین نے خود کو پھیلانے والے کیڑے کا مظاہرہ کیا ہے جو آنے والی کال کے علاوہ کسی بھی چیز کے ذریعے WeChat اکاؤنٹ پر قبضہ کر سکتا ہے - ہدف کو کبھی بھی جواب دینے، کسی لنک کو ٹیپ کرنے، یا فون کو چھونے کی ضرورت نہیں ہے۔ کمپنی کا کہنا ہے کہ مصنوعی ذہانت نے اسے بنیادی مسئلے کو تلاش کرنے اور تقریباً دو دنوں میں پہلا ورکنگ ایکسپلائٹ لکھنے میں مدد کی۔
8 ستمبر کو دی ہیکر نیوز اور دی نیو یارک ٹائمز کے ذریعے رپورٹ کیے جانے والے مظاہرے سے پتہ چلتا ہے کہ AI کس طرح ڈرامائی طور پر سنگین حملے کے آلات تیار کرنے کے لیے ٹائم لائن کو کم کر رہا ہے۔ اس خامی کا استعمال کرتے ہوئے کسی حملے کی اطلاع نہیں دی گئی ہے، اور Tencent کا کہنا ہے کہ اگست کے آخر سے تمام صارفین کے لیے استحصال کو مسدود کر دیا گیا ہے — لیکن جیسا کہ AI security news نے 2026 کے دوران بیان کیا ہے، AI سے تیز رفتار استحصال نظریہ سے عملی کی طرف بڑھ رہا ہے۔
ایک کیڑا جو بجنے سے پھیلتا ہے۔
حملہ WeChat کے کالنگ فیچر پر کام کرتا ہے۔ کیڑا شکار کے WeChat اکاؤنٹ پر قبضہ کر لیتا ہے جب ان کے فون پر حملہ آور کی طرف سے کال موصول ہوتی ہے — چاہے کال کا جواب نہ دیا جائے، اور یہاں تک کہ اگر فون کمرے میں ایک میز پر صرف بج رہا ہو۔ جواب دینے سے کوئی فائدہ نہیں ہوتا: کیلیف کا کہنا ہے کہ متاثرہ شخص کچھ نہیں سنتا اور استحصال پھر بھی کامیاب ہوتا ہے۔ کال کو مسترد کرنے سے وہ کوشش رک جاتی ہے، لیکن حملہ آور بعد میں دوبارہ کوشش کر سکتا ہے، مثال کے طور پر جب ہدف سو رہا ہو۔
ایک رکاوٹ ہے: کال کرنے والا پہلے سے ہی ہدف کے WeChat رابطوں میں سے ایک ہونا چاہیے۔ کیلیف کا استدلال ہے کہ عملی طور پر یہ بمشکل ایک رکاوٹ ہے، کیونکہ ایک بار جب ایک رابطے سے سمجھوتہ ہو جاتا ہے تو، WeChat کا رابطہ ٹو رابطہ مواصلات میں اضافی اعتماد حملہ آور کے حق میں کام کرتا ہے۔ ہر ہائی جیک شدہ اکاؤنٹ ایک نیا لانچ پوائنٹ بن جاتا ہے۔
مظاہرے نے بالکل وہی سلسلہ ردعمل ظاہر کیا۔ ایک اینڈرائیڈ فون نے آئی فون کو کال کی اور اس کا WeChat اکاؤنٹ سنبھال لیا جب فون ابھی بج رہا تھا۔ نئے سمجھوتہ کرنے والے آئی فون نے پھر دوسرے اینڈرائیڈ فون کو بلایا اور اسی طرح اس کا کنٹرول حاصل کر لیا۔
ایک بار جب استحصال چلتا ہے، حملہ آور WeChat اکاؤنٹ پر مکمل کنٹرول حاصل کر لیتا ہے — پیغامات پڑھنا اور بھیجنا، کال کرنا، اور اکاؤنٹ کے مالک کے طور پر کام کرنا۔ خود فون کا کنٹرول شامل نہیں ہے، لیکن ایک ایسی ایپ کے لیے جس کی واحد فہرست ادائیگیوں، آفیشل اکاؤنٹس، اور چھوٹے پروگراموں کا احاطہ کرتی ہے، اکاؤنٹ ٹیک اوور اپنے طور پر ایک سنگین نتیجہ ہے۔ Tencent نے 30 جون 2026 تک WeChat اور Weixin کے لیے 1.439 بلین ماہانہ فعال صارفین کی اطلاع دی۔
AI- ایکسلریٹڈ ٹائم لائن
سب سے زیادہ نتیجہ خیز تفصیل یہ ہوسکتی ہے کہ یہ کتنی تیزی سے اکٹھا ہوا۔ Calif کے مطابق، اس کی ٹیم نے AI کے ساتھ مل کر بگ کو دریافت کیا اور تقریباً دو دنوں میں فون پر کوڈ چلانے کے قابل پہلا ایکسپلائٹ تیار کیا۔ کیڑا بنانے میں ایک اور ہفتہ لگا۔
کمپنی کی اپنی شائع شدہ ٹائم لائن زیادہ قدامت پسند ہے لیکن پھر بھی حیران کن ہے: اس کی انجینئرنگ ٹیم نے 23 جولائی کو بگ کی نشاندہی کی، 30 جولائی کو پہلا اینڈرائیڈ ایکسپلوٹ مکمل کیا، اور 11 اگست کو کام کرنے والے کیڑے کا مظاہرہ کیا۔ ہیکر نیوز نوٹ کرتا ہے کہ چھوٹے اعداد و شمار صرف فعال کام کرنے کے وقت کو شمار کر سکتے ہیں — لیکن کسی بھی طرح سے، ابتدائی دریافت سے فاصلہ ایک ہفتے میں خود کار طریقے سے نہیں تھا۔ مہینوں یا سالوں میں اس طرح کی صلاحیتیں روایتی طور پر درکار ہوتی ہیں۔
سیکورٹی محققین نے دو سالوں سے خبردار کیا ہے کہ بڑے زبان کے ماڈل ترقی کے استحصال میں رکاوٹ کو کم کر دیں گے۔ یہ معاملہ ایک ٹھوس ڈیٹا پوائنٹ ہے: AI نے انجینئرز کی جگہ نہیں لی، لیکن اس نے مادی طور پر خطرے کی دریافت اور ہتھیار بنانے دونوں کو تیز کیا۔
ٹینسنٹ کا خاموش فکس
کیلیف نے جولائی میں Tencent کو خامی کی اطلاع دی۔ کمپنی کا کہنا ہے کہ Tencent نے تب سے تمام صارفین کے استحصال کو کم کر دیا ہے، اور یہ کہ 28 اگست کو اس نے تصدیق کی کہ Tencent کے سرورز پر بلاک نافذ کیا جا رہا ہے — یعنی تحفظ کا انحصار صارفین پر کچھ بھی انسٹال کرنے پر نہیں ہے۔
Tencent نے اپنے ہی ریلیز لاگ کے مطابق 21 اگست کو Android کے لیے WeChat ورژن 8.0.77 اور iOS کے لیے 8.0.76 بھیج دیا، اور ان ریلیزز نے فی کیلیف میں بگ کو کم کیا۔ قابل ذکر بات یہ ہے کہ Tencent نے اس خامی کے بارے میں کوئی سیکیورٹی ایڈوائزری شائع نہیں کی ہے۔ اس کے ریلیز نوٹ اپ ڈیٹس کو صرف بگ فکسس کے طور پر بیان کرتے ہیں، اور 8 ستمبر تک کوئی CVE شناخت کنندہ تفویض نہیں کیا گیا تھا۔ ہیکر نیوز نے تبصرے کے لیے دونوں کمپنیوں سے رابطہ کیا۔
کسی بھی کمپنی نے یہ نہیں بتایا ہے کہ WeChat کے کون سے ورژنز متاثر ہوئے ہیں، چاہے یہ خامی HarmonyOS، Windows، Mac، یا Linux پر WeChat کلائنٹس تک پھیلی ہو، یا کیا کبھی جنگل میں اس کا استحصال کیا گیا ہو۔ کیلیف کا کہنا ہے کہ کسی حملے کی اطلاع نہیں دی گئی ہے - اور یہ کہ صارفین کے پاس یہ چیک کرنے کا کوئی طریقہ نہیں ہے کہ آیا انہیں نشانہ بنایا گیا ہے، کیونکہ ایک مس کال جو خاموشی سے ناکام ہو جاتی ہے کوئی نشان نہیں چھوڑ سکتا ہے۔
موبائل سیکیورٹی کے لیے اس کا کیا مطلب ہے۔
اس طبقے کے زیرو-کلک حملے زیادہ تر اچھے وسائل والے سپائی ویئر فروشوں کے ساتھ وابستہ رہے ہیں جو بہت کم تعداد میں اعلیٰ قدر والے اہداف کے خلاف کام کرتے ہیں۔ ایک کیڑا - حملہ کا کوڈ جو خود کو شکار سے شکار تک پھیلاتا ہے - کیلکولس کو تبدیل کرتا ہے، کیونکہ یہ اسی صلاحیت کو ممکنہ طور پر کروڑوں اکاؤنٹس میں توسیع پذیر بناتا ہے۔ نیو یارک ٹائمز نے ماہرین کا حوالہ دیتے ہوئے رپورٹ کیا کہ اگر اس کا استعمال بدنیتی سے کیا جاتا تو یہ حملہ اصولی طور پر گھنٹوں کے اندر بڑی تعداد میں آلات سے سمجھوتہ کر سکتا تھا۔
کیلیف اس خطرے اور کیڑے کی تکنیکی تفصیلات کو اس وقت تک روک رہا ہے جب تک کہ وہ سیکیورٹی کانفرنس میں مکمل تجزیہ پیش نہیں کر سکتا، اور اس نے ایسا کچھ شائع نہیں کیا ہے جس کی محافظ تلاش نہیں کر سکتے تھے۔ یہ پابندی کاپی کیٹس کو محدود کر دے گی، لیکن یہ وسیع تر ماحولیاتی نظام کو بھی چھوڑ دیتا ہے - اسی طرح کی کالنگ آرکیٹیکچرز کے ساتھ دیگر میسجنگ ایپس - بغیر کسی حوالہ کے خود کو آڈٹ کرنے کے لیے۔
صارفین کے لیے، عملی راستہ تنگ ہے: سرور سائیڈ بلاک کا مطلب ہے کہ کسی کارروائی کی ضرورت نہیں ہے، حالانکہ موجودہ WeChat ریلیز کو چلانا مناسب ہے۔ سیکورٹی انڈسٹری کے لیے، ٹیک وے وسیع ہے۔ AI کی مدد سے چلنے والا ورک فلو جو تین ہفتوں سے کم عرصے میں ایک مستقل آغاز کو کام کرنے والے صفر کلک کیڑے میں بدل دیتا ہے اب کوئی سوچا سمجھا تجربہ نہیں ہے - یہ ایک دستاویزی، ظاہر شدہ پائپ لائن ہے۔
