Forscher entdecken iPhone-Spionagesoftware, die über Anzeigen und Webseiten verbreitet wird

Cyberkriminelle infizieren iPhones mit Spionagesoftware über Online-Anzeigen und legitime Webseiten, ohne dass die Opfer auf irgendetwas klicken müssen. Forscher bei iVerify und Report URI erklärten am Donnerstag, sie hätten zwei Kampagnen aufgedeckt, die von kriminellen Gruppen mit mutmaßlichen Verbindungen nach China betrieben werden. Diese nutzten Werbeinfrastruktur und vergessenen Website-Code, um Anmeldedaten und Kryptowährungen zu stehlen. Die Ergebnisse deuten darauf hin, dass Hacking-Tools, die einst hochrangigen Zielen wie Politikern und Journalisten vorbehalten waren, nun gegen normale Nutzer eingesetzt werden.axios.com

Eine Instagram-Anzeige und tote Domains

In einem Fall stellte iVerify fest, dass das iPhone eines Mitarbeiters eines Finanzinstituts infiziert wurde, nachdem er auf Instagram Meta Platforms, Inc. ↘ 6.98% an einer Anzeige für ein Profifußballteam vorbeigescrollt hatte. Schadcode wurde ausgeführt, sobald die Anzeige auf dem Bildschirm erschien. Er überprüfte das Betriebssystem des Telefons, setzte einen passenden Exploit ein, stahl die Anmeldedaten des Benutzers und suchte nach Kryptowährungs-Wallets.axios.com

Die zweite Kampagne funktionierte über abgelaufene Domains, die einst normale Website-Funktionen wie Chatbots und Analysetools beherbergten. Tausende von Websites luden weiterhin Code von diesen Domains, was es den Angreifern ermöglichte, Besucher unbemerkt auf Schadsoftware umzuleiten. Axios berichtete, dass fast 8.000 Websites durch etwa 630 gekaufte Domains betroffen waren. Laut Forbes verbreiteten die Angreifer Schadcode über mindestens 6.600 legitime Websites, die zusammen 49 Millionen Besuche pro Monat verzeichnen. Davon lieferten 248 Websites mit 8 Millionen monatlichen Besuchen direkt iPhone-Spionagesoftware aus, während der Rest die Nutzer auf Spam-Seiten weiterleitete.forbes.com.mx+1

Scott Helme, Gründer von Report URI, nannte die Betreiber DeadTag. In dem Bericht des Unternehmens schrieb er, dass das Netzwerk Coruna und DarkSword liefere, "zwei der leistungsfähigsten iOS-Exploit-Kits, die jemals gesehen wurden". Helme sagte, dass DeadTag anderen Kriminellen Zugang zu den gekaperten Websites verkauft und bis zu 10 neue Domains pro Woche registriert. Einer ihrer Kunden nutzt Exploit-Kits, die von staatlichen Geheimdiensten geleakt worden zu sein scheinen.blog.report-uri.com+1

Nicht gepatchte Telefone im Visier

Apple ↗ 1.23% hat die Schwachstellen, die diese Kits bei früheren Angriffen nutzten, bereits behoben, daher zielen die Angreifer auf Geräte ab, die nicht aktualisiert wurden. Helme sagte, der Code der Angreifer zeige, dass sie bereit seien, neuere Exploits für iOS-Fehler einzusetzen, die noch nicht gepatcht wurden. Zum Zeitpunkt der Veröffentlichung hatten weder Apple noch Meta auf Anfragen von Forbes um Stellungnahme reagiert.forbes.com.mx

Die Herkunft der Angreifer ist noch unklar. Ihr Code war auf Chinesisch geschrieben, und Forbes fand heraus, dass mehrere ihrer Domains einen in China ansässigen Websicherheitsdienst nutzten. "Sie sind entweder Chinesen oder sie wollen definitiv, dass wir das glauben", sagte Helme gegenüber Axios.axios.com+1

Eine sich ausbreitende Bedrohung

Der Bericht erscheint eine Woche, nachdem das Citizen Lab der University of Toronto das veröffentlichte, was sie als die erste öffentliche Bestätigung für Spionagesoftware ohne Klick-Erfordernis bezeichneten, die über gezielte Anzeigen verbreitet wurde. Diese Kampagne traf mindestens 45 Geräte bei Al Jazeera. Rocky Cole, ein Mitbegründer von iVerify, bezeichnete Spionagesoftware als "die derzeit am schnellsten wachsende Bedrohung für mobile Geräte". Sowohl er als auch Helme drängten Nutzer dazu, ihre Telefone auf dem neuesten Stand zu halten.axios.com

"Nutzer besuchen keine bösartigen Websites. Sie machen nichts falsch", sagte Cole gegenüber Forbes. "Sie surfen einfach auf einer Seite und werden am Ende infiziert".forbes.com.mx