Výzkumníci odhalili spyware pro iPhone šířící se přes reklamy a weby

Kyberzločinci infikují iPhony spywarem prostřednictvím online reklam a legitimních webových stránek, přičemž oběti nemusí na nic kliknout. Výzkumníci ze společností iVerify a Report URI ve čtvrtek uvedli, že odhalili dvě kampaně vedené zločineckými skupinami s podezřením na vazby na Čínu, které zneužívaly reklamní infrastrukturu a zapomenutý kód webových stránek ke krádeži přihlašovacích údajů a kryptoměn. Zjištění naznačují, že hackerské nástroje, které byly dříve vyhrazeny pro vysoce postavené cíle, jako jsou politici a novináři, jsou nyní používány proti běžným uživatelům.axios.com

Reklama na Instagramu a mrtvé domény

V jednom případě iVerify zjistila, že zaměstnanec finanční instituce měl svůj iPhone infikovaný poté, co při prohlížení Instagramu (Meta Platforms, Inc. ↘ 0.96%) narazil na reklamu na profesionální fotbalový tým. Škodlivý kód se spustil, jakmile se reklama objevila na obrazovce. Zkontroloval operační systém telefonu, nasadil odpovídající exploit, ukradl uživatelské přihlašovací údaje a vyhledal kryptoměnové peněženky.axios.com

Druhá kampaň fungovala prostřednictvím expirovaných domén, které dříve hostovaly běžné funkce webových stránek, jako jsou chatboti a analytické nástroje. Tisíce webů stále načítaly kód z těchto domén, což útočníkům umožnilo tiše přesměrovat návštěvníky na malware. Axios uvedl, že téměř 8 000 webů bylo ovlivněno prostřednictvím přibližně 630 zakoupených domén. Podle Forbesu útočníci šířili škodlivý kód prostřednictvím nejméně 6 600 legitimních webů, které mají dohromady 49 milionů návštěv měsíčně. Z nich 248 webů s 8 miliony měsíčních návštěv doručovalo spyware pro iPhone přímo a zbytek přesměrovával uživatele na spamové stránky.forbes.com.mx+1

Scott Helme, zakladatel Report URI, pojmenoval operátory jako DeadTag. Ve zprávě společnosti uvedl, že síť dodává Coruna a DarkSword, „dva z nejvýkonnějších exploit kitů pro iOS, jaké kdy byly viděny“. Helme uvedl, že DeadTag prodává ostatním zločincům přístup k napadeným webům a registruje až 10 nových domén týdně. Jeden z jejich zákazníků používá exploit kity, které vypadají, že unikly ze státních zpravodajských agentur.blog.report-uri.com+1

Cílení na neaktualizované telefony

Společnost Apple ↘ 0.14% již opravila zranitelnosti, které tyto kity využívaly při dřívějších útocích, takže útočníci se zaměřují na zařízení, která nebyla aktualizována. Helme uvedl, že kód útočníků ukazuje, že jsou připraveni vyměnit starší exploity za novější pro chyby v iOS, které ještě nebyly opraveny. V době zveřejnění ani Apple, ani Meta nereagovaly na žádosti Forbesu o komentář.forbes.com.mx

Původ útočníků je stále nejasný. Jejich kód byl napsán v čínštině a Forbes zjistil, že několik jejich domén využívalo webovou bezpečnostní službu se sídlem v Číně. „Buď jsou to Číňané, nebo rozhodně chtějí, abychom si to mysleli,“ řekl Helme pro Axios.axios.com+1

Šířící se hrozba

Zpráva přichází týden poté, co Citizen Lab z Torontské univerzity zveřejnila to, co popsala jako první veřejné potvrzení spywaru typu zero-click doručovaného prostřednictvím cílených reklam. Tato kampaň zasáhla nejméně 45 zařízení v Al-Džazíře. Rocky Cole, spoluzakladatel iVerify, označil spyware za „nejrychleji se šířící hrozbu pro mobilní zařízení v současné době“. On i Helme vyzvali uživatele, aby své telefony udržovali aktualizované.axios.com

„Uživatelé nenavštěvují škodlivé webové stránky. Nedělají nic špatného,“ řekl Cole pro Forbes. „Jen si prohlížejí stránku a nakonec jsou infikováni“.forbes.com.mx