Sebastian Juul
En anställd på en finansfirma fick sin iPhone infekterad bara genom att scrolla förbi en annons i Instagram-flödet.
Säkerhetsforskare från iVerify och Report URI rapporterade i slutet av oktober 2026 att två exploateringsverktyg, Coruna och DarkSword, används för att smyga spionprogram in på iPhone-enheter utan att användaren klickar på något. Angreppet startar i det ögonblick annonsen eller en sida laddas i webbläsaren.
Rocky Cole, medgrundare av iVerify, beskrev den dokumenterade smittan till etvbharat.com: ”Användaren besöker ingen skadlig sida och gör ingenting fel. De bara scrollar, och så är de infekterade.”
Så fungerar ”halv-klick”-angreppet
Angreppet kallas ”half-click” eftersom det inte kräver att offret trycker på en länk. När en manipulerad annons eller tredjepartskod laddas på en vanlig webbsida, startar koden automatiskt och läser först av vilken iOS-version telefonen kör. Därefter skickas en matchande exploatering som passar just den versionen, enligt eSecurityPlanet.
Det konkreta fallet iVerify dokumenterade handlade om en anställd på ett finansbolag vars iPhone infekterades av en VM-tematiserad Instagram-annons. Varianten som nådde telefonen kallas P7 DarkSword och är designad för att plocka åt sig lösenord från iOS Keychain, enhetsdata samt kryptovalutaplånböcker som Binance, Coinbase Wallet, Trust Wallet, Exodus, OKX, Bitget, TronLink och Bitpie, uppger forskarna.
6 600 webbplatser med smittad kod
Parallellt med Instagram-fallet har Report URI kartlagt en kampanj som forskarna döpt till DeadTag. Angriparna köpte upp runt 630 utgångna domännamn som tidigare användes för annons- och analystjänster, men vars kodtaggar fortfarande ligger kvar på tusentals webbplatser.
Resultatet: minst 6 600 fullt legitima webbplatser hämtar nu kod från de kapade domänerna, med sammanlagt cirka 49 miljoner besök varje månad. Av dessa levererar 248 webbplatser direkt iPhone-spionprogram, enligt BeEncrypted. Flera e-handelsbutiker på plattformen PrestaShop finns också bland de drabbade.
Scott Helme, grundare av Report URI, kommenterade upptäckten till etvbharat.com: ”Det här eskalerade otroligt snabbt, och jag kan inte fatta att vi hamnade i ett kaninhål där vi plockade isär DarkSword-exploateringsverktyg.”
Uppdaterad iPhone klarar sig
Forskarna understryker att angreppet bygger på att iPhone kör en äldre, opatchad iOS-version. Verktygen innehåller enligt rapporten platshållare för iOS 26 och iOS 27, men den koden är i huvudsak icke-fungerande. En iPhone som är uppdaterad till senaste iOS-versionen bedöms alltså inte vara i akut riskzon.
Apple har löpande täppt till sårbarheter som utnyttjas aktivt av hackare under det senaste året, och forskarna rekommenderar att installera den senaste iOS-versionen via Inställningar > Allmänt > Programuppdatering så fort den dyker upp.
För användare med särskilt känsligt innehåll på telefonen, exempelvis journalister, kryptoinnehavare eller anställda med tillgång till finansiella system, rekommenderar iVerify också att slå på Lockdown-läget. Funktionen minskar iPhonens angreppsyta genom att begränsa webbläsarfunktioner och vissa anslutningstyper.
Spår pekar mot kinesisktalande operatörer
I koden hittade forskarna kommentarer skrivna på kinesiska, och delar av betalningsinfrastrukturen pekar enligt analysen mot kinesisktalande operatörer med ekonomiskt motiv. Varken nationalitet eller statlig inblandning är dock bekräftad, påpekar iVerify och Report URI.
Mönstret med annons- och tredjepartskod som smittoväg är inte nytt. Citizen Lab och Amnesty International har tidigare visat hur 45 Al Jazeera-telefoner hackades via riktad reklam utan att användarna behövde klicka. Den nya DarkSword-kampanjen tyder på att samma teknik nu används även mot bredare mål som finansanställda och kryptoanvändare.
Nästa iOS-säkerhetsuppdatering, iOS 27.2, väntas rullas ut till alla iPhone under de kommande veckorna.
