Sebastian Juul
Hundratals helt vanliga webbplatser används just nu för att smyga spionprogram in på iPhones utan att användaren klickar på något.
Säkerhetsföretagen iVerify och Report URI publicerade den 21 oktober en gemensam undersökning som kartlägger en pågående kampanj som fått namnet ”DeadTag”. Omkring 6 600 ofarliga webbplatser har utan sina ägares vetskap gjorts till en del av ett distributionsnät för iPhone-spionprogram, och av dem levererar 248 den skadliga koden direkt, tillsammans når de ungefär åtta miljoner besök i månaden.
Det speciella är att användaren inte behöver göra något fel. ”Användaren besöker ingen skadlig webbplats. Hen gör ingenting fel. Hen scrollar bara, och blir infekterad”, sa Rocky Cole, medgrundare och COO på iVerify, till Axios.
Så kapar angriparna sidorna
Attacken bygger på att angriparna köpt upp cirka 630 utgångna domäner som en gång användes av annonsnätverk, chattbottar och analystjänster. Webbplatsägarna glömde ta bort de gamla kodtaggarna, så när en besökare laddar sidan hämtas numera resurser som brottslingarna själva kontrollerar. Via dessa taggar plockar kampanjen ut vissa besökare och serverar två exploateringsverktyg: Coruna och det nyare DarkSword.
I ett dokumenterat fall blev en anställd på ett finansbolag infekterad efter att ha scrollat förbi en fotbollsannons på Instagram. Teksajten har tidigare rapporterat om samma typ av osynliga drive-by-attacker via Instagram-annonser. Både Apple och Meta avböjde att kommentera uppgifterna när rapporten publicerades.
Vad spionprogrammet stjäl
De två verktygen går efter lösenord som sparats i iPhones nyckelring, personliga foton, anteckningar i Apple Notes och innehåll i enskilda appars lagring. En nyare variant kallad P7 är enligt iVerify dessutom byggd för att tömma kryptoplånböcker som Binance, Coinbase Wallet, Trust Wallet, Exodus och OKX.
9to5Mac rapporterar att den uppdaterade DarkSword-varianten också kommunicerar i båda riktningarna med angriparnas servrar och kan ta emot nya instruktioner, hämta godtyckliga filer och kartlägga vilka appar som finns installerade på telefonen.
Scott Helme, grundare och vd på Report URI, sa till Axios att gruppen bakom kampanjen ”antingen är kinesisk eller definitivt vill att vi ska tro det”. Siktet är inställt på iPhones som inte har installerat de senaste säkerhetsuppdateringarna.
Så skyddar du dig
Apple har släppt säkerhetsrättade versioner, iOS 15.8.7, iOS 16.7.15 och iOS 18.7.7, och alla iPhone-ägare uppmanas att installera uppdateringen direkt via Inställningar > Allmänt > Programvaruuppdatering.
