一通电话，不需要接听、不需要点击链接，甚至不需要打开聊天窗口，就可能成为账号接管和蠕虫扩散的起点。安全研究团队 Calif 公布的 WeWorm 演示，正是围绕这一类风险展开：攻击者通过微信通话触发漏洞，接管受害者账号，再以受害者身份呼叫其好友，形成逐级传播链。
需要强调的是，现有信息来自研究团队的演示摘要，具体漏洞细节、攻击条件和是否已被真实攻击者利用，仍需要微信厂商、安全社区或独立研究者进一步验证。因此，本文把 WeWorm 当作一个高影响的安全预警来分析，而不是把演示直接等同于已经广泛传播的现实病毒。
zero-click 为什么危险
传统钓鱼攻击通常需要用户点击链接、安装应用或输入验证码。zero-click 攻击的难点被转移到了应用的自动处理路径上，例如来电信令、推送通知、媒体协商、消息预览或附件解析。只要攻击者能够构造一份能被客户端自动处理的数据，用户不采取任何动作也可能触发漏洞。
WeWorm 的传播模型尤其值得关注：
- 攻击者拨打受害者的微信电话。
- 目标客户端在来电或通话协商阶段自动处理恶意数据。
- 账号被接管，或者会话令牌、设备信任状态等关键凭据被窃取。
- 攻击者使用受害者身份呼叫其联系人。
- 联系人继续成为下一批潜在受害者。
这类攻击的危险不只在于单个账号失守。社交关系本身会成为传播渠道，因为来自熟人的来电比陌生链接更容易被信任。
演示能说明什么，不能说明什么
Calif 声称 WeWorm 是首个能够跨 iOS 和 Android、通过微信通话传播的 zero-click 蠕虫，并使用三部真实设备进行演示。摘要中提到的设备组合包括 Pixel 10a 呼叫 iPhone 17e，但完整实验条件并未在给定材料中展开。
因此，阅读此类安全披露时应区分三个层次：
- 漏洞存在性：研究者是否能在特定版本、特定设备和特定网络条件下触发问题。
- 攻击可复现性：其他研究者能否独立复现，攻击是否需要特殊配置或本地配合。
- 大规模传播能力：攻击者能否稳定接管账号、自动获取联系人，并在真实网络中持续扩散。
“无需接听”也不一定意味着任何版本、任何网络条件下都能被攻击。系统版本、微信版本、账号保护策略、来电处理状态和服务端风控，都可能改变攻击结果。对普通用户来说，最重要的行动仍然是及时更新客户端和操作系统，并关注官方安全公告；对企业和安全团队来说，则需要把这类演示纳入移动端攻击面评估。
可以立即执行的排查与取证
下面的命令适合 Android 测试机或经过授权的企业设备，用于记录微信版本、系统版本和最近的系统日志。它不会尝试利用漏洞，也不会修改设备状态。运行前请安装 Android SDK Platform Tools，并通过 USB 调试连接已获授权的设备。
#!/usr/bin/env bash
set -euo pipefail
OUT="wechat-incident-$(date +%Y%m%d-%H%M%S)"
mkdir -p "$OUT"
adb wait-for-device
adb shell getprop ro.product.model > "$OUT/device-model.txt"
adb shell getprop ro.build.version.release > "$OUT/android-version.txt"
adb shell dumpsys package com.tencent.mm > "$OUT/wechat-package.txt"
adb shell dumpsys activity services com.tencent.mm > "$OUT/wechat-services.txt" || true
adb logcat -d -v threadtime -t 3000 > "$OUT/logcat-last-3000.txt"
printf 'Evidence saved to %s\n' "$OUT"
printf 'Review the files before sharing them; logs may contain personal data.\n'
如果设备曾经出现异常来电、突然退出登录、联系人收到非本人发起的呼叫，建议保留时间线和原始日志，不要反复清理或恢复出厂设置，以免覆盖证据。随后通过可信设备修改微信密码，检查已登录设备并移除陌生设备，同时启用可用的多因素保护。涉及企业账号时，应立即通知管理员，让管理员检查异常登录、设备注册和批量呼叫记录。
iPhone 用户无法使用上述 adb 命令。可以记录 iOS 版本、微信版本、异常来电时间和账号安全页面中的设备列表，并从 App Store 更新微信、从系统设置安装最新 iOS 更新。不要安装来源不明的“安全修复工具”，也不要把验证码、设备验证码或恢复码发送给任何自称客服的人。
平台和厂商应补上的防线
对于应用厂商，通话协议解析器和来电处理链路应当接受严格的模糊测试、内存安全检查和异常输入隔离。高风险操作不应仅依赖客户端状态，账号接管、批量呼叫和新设备信任都应由服务端进行风险评分，并设置速率限制、设备绑定和异常行为挑战。
对于操作系统平台，来电和推送等后台入口需要尽量缩小权限边界。即便客户端解析过程发生崩溃，也应避免攻击者直接获得持久化凭据或跨应用访问能力。研究团队披露漏洞后，厂商还需要给出清晰的受影响版本、修复版本、临时缓解措施和检测指标。
给用户和管理员的清单
- 更新微信和 iOS、Android 到官方提供的最新版本。
- 检查微信账号的登录设备，移除无法确认的设备。
- 为重要账号启用多因素保护，并避免复用密码。
- 对异常来电、自动退出登录和好友收到的可疑呼叫保留时间线。
- 企业环境中限制未受管控设备访问高价值账号。
- 不把演示漏洞的“无需点击”误解为已经确认的普遍性攻击，也不因此安装第三方清理工具。
WeWorm 这类演示提醒我们：移动应用的攻击面不只在聊天消息和网页链接，自动处理的实时通信链路同样可能成为账号安全边界。真正有效的应对不是恐慌性卸载，而是及时修复、减少账号信任范围、监控异常行为，并等待厂商对具体漏洞条件给出可验证的技术说明。