我怀疑企微和微信有严重的漏洞导致微信可被攻击者利用随意建群

CSDN是个交流IT技术的平台，作为半个IT男，我尽量从技术角度把这个事说一下，屏蔽一些主观的内容，希望大家从技术角度分析一下这个事可能的漏洞在哪里。这个事发生在2024年3月20日，中招的是老婆的微信，但整个过程是我在处理，所以可以还原的比较全面。

如果有微信安全团队的人能看到也希望您能重视一下，不得不说腾讯的客服比政府都难接近，从问题发现到处理的全过程我通过微信开放的所有途径尝试了很多遍，竟然没有任何一个口给我机会能接入到人工客服，全过程都是人工智障机器人客服，不能解决任何问题。

1 事情背景

老婆手机早上有很多微信好友打电话问为什么半夜随意建群，于是查看自己的微信发现莫名多了29个微信群，如下图所示：

  

每一个群点进去都能看到2类共同信息：①上方的提示“xxx为企微用户”（这29个群的xxx都是同一个人）和你撤回了一条消息，从时间来看发生在半夜1点50分左右；②下方提示“无法在已退出的群里发送消息”。可以很明确这些事都不是老婆本人操作，那个时候正在睡觉。

此外，在所有这类异常群之前还有一个微信消息，是一个陌生人（非企微用户）推荐的名片，名片对应的人就是前面提到的那个xxx企微用户，但是这个陌生人和被推荐的企微用户都无法对话，提示被对方加了黑名单。可以肯定老婆没有主动加过这2个人的微信，而且老婆的微信也开启了加好友的验证功能。

2 事情分析

因为很多好友被拉进来群里，这些好友早上7点多的时候发现自己被拉进群了，也很好奇，很多人就陆续发过来一些截图询问原因。所有的群都有一些共同特点，就拿一个图来举例子了，如下图所示：①群的名字都是“龙年顺利（序号）”；②被拉群的人看到的是企微群，不是微信群；③所有群都显示老婆拉了很多好友进群；④都显示老婆撤回了一条消息；⑤那个xxx的企微用户在所有群都改名、拉新人，群主启用邀请确认；⑥老婆的好友都成为了群主；⑦xxx企微用户拉进来的人开始发广告。

另外，老婆手机虽然只查询到29个微信群，但是从朋友们发的截图来看，至少有39个微信群，因为群号最大到39，当然也有可能有更大的群号没人截图。

 经过这个过程大致可以确定此事情有如下几个相关方：

①老婆的微信：被当成了肉鸡，利用老婆微信把他的通讯录好友都拉到了群里，为避免老婆在群内澄清信息，不知道利用什么漏洞借助老婆的微信拉完人后，立即把老婆踢出群聊；

②老婆的通讯录好友：被利用的对象，一是他们进群后可以看广告再加群，成为攻击者的客户，二是都被设置成立群主，承担违规责任；

③注册企业微信的企业：被利用的对象（后边会澄清，和该企业联系了，他们没查到这个人；此外群里的广告也不是和他们企业相关的）；

④不法团伙：通过微信或者企微的漏洞来进行运营活动。

初步分析不法团伙做这个事可能的几个方式：

①方式一：老婆微信到账号密码被泄露，导致他们通过泄露的账号密码进行了操作；

②方式二：不法团伙在老婆手机里植入了木马或者病毒，通过这个木马在半夜远程控制了微信；

③方式三：微信和企微有漏洞，利用这个漏洞，实现远程的控制；

④我不知道的链路大家帮忙分析。

3 处理过程

3.1 降低影响

虽然老婆自己不在微信群里了，但是他的好友还在，担心有人有损失；问题原因没找到，别再某一天发起新的一波攻击。

①发微信澄清：让老婆发了朋友圈，澄清微信被黑，拉人进群的操作非本人操作，大家避免上当受骗（发完后很多人反馈老婆的朋友圈看不到，不确定是不是也被攻击者操作把部分好友屏蔽了）。

②打电话报警：110叔叔让我拿手机到附近的公安局去报警，公安局回复没有造成损失不予立案，给我开了一个报警回执，让我自己找腾讯和企微的那个企业协调解决；

③联系腾讯客服，电话客服、微信客服多次尝试无果，机器人客服没有解决任何问题，还惹了一肚子气；

3.2 分析验证

①针对前面提到的方式一：如果账号密码泄露，应该是通过别的设备登录了，但是微信的记录里并没有不认识的设备登录记录，如下图所示：

③针对前面提到的方式二：带着老婆手机到华为售后监测，在售后和工程师沟通详细展示我遇到的问题后，说明了我的意图，工程师经过监测给出了报告，手机没有硬件故障和病毒；

④针对前面提到的方式三：这个是经过排除法觉得最有可能的方向。我和企微用户绑定的企业联系（企微用户绑定的企业信息里能看到企业电话），对方客服给了一个地区负责人电话，沟通后他们确认在用企微，他们经过系统确认，他们企微没有这个xxx的用户（电话、微信沟通结果就不放了）；所以可能明确对应的企微用户绑定的企业也是被利用的，仔细想一想也没有哪个企业敢这样干。

此外，我还上网查询此类问题，在知乎上找到了有此类遭遇的人，和我这遇到的情况一模一样。比如这个（现象来看和我遇到的情况一模一样，很多人都中招过）：

4 事件发展

前面提到过从早上7点多起床开始识别到这个问题后，一方面打电话进行了报警；另一方面在尝试和微信人工客服沟通反馈问题，但是人工客服机器人反馈9点以后上班，9点多一点我到警局后当着警察面再次打电话，发现微信客服的逻辑压根就接不到人工客服，我这种情况没有一个选项符合的，随便点一个后告诉你到公众号联系客服解决。到公众号以后仍然是接不到人工客服，还往客服电话推，大家有空可以试试。到10点多再次打电话，微信系统已因为有很多人举报，把老婆账号限制了，同时给老婆手机推送了违规提醒要求提供身份证明进行解封。好无奈，在大公司面前，我们真的啥都干不了。

5 预期结果

我是个遇事喜欢刨根问底的人，但是在这个事上好像已经分析不下去了，时间越长估计越难分析，但是确实个人已无能为力了。

但经过这个分析过程，我感觉最大的可能性就是微信和企微有严重的安全漏洞，但是确实是找不到微信团队人员配合支持，很难再继续分析下去了。如果哪位大神有机会看到这个内容，也一起分析一下，微信作为一个国民级社交平台，如果这种漏洞还持续存在，有可能或有很多人无辜用户被牵连利用，给个人造成影响。