Anúncios maliciosos no Instagram infetam iPhones com spyware sem um único toque

Um anúncio armadilhado no Instagram foi apanhado a infetar com spyware o iPhone de um funcionário, enquanto este se limitava a percorrer o feed. O anúncio, com temática do Mundial de futebol, entregou uma variante do kit de exploits para iOS DarkSword. Não foi preciso tocar em nada, descarregar nada nem instalar qualquer aplicação.

O que aconteceu

A infeção veio a público durante a análise do telemóvel pessoal de um funcionário numa organização que utiliza deteção de ameaças em dispositivos móveis. O anúncio carregou no feed do Instagram e a cadeia de exploits correu sozinha, sem qualquer sinal visível para o utilizador. Mais tarde, a mesma pessoa voltou a ser atingida por outra variante do DarkSword, desta vez através de uma ligação maliciosa enviada pelo que parece ser um grupo diferente.

O ataque descreve-se melhor como "meio clique": a vítima tem de estar numa página ou plataforma onde o anúncio aparece, mas não precisa de fazer mais nada. Não se trata de um ataque sem interação contra um telemóvel parado, e não ficou demonstrado que funcione em iPhones totalmente atualizados. Os dois kits observados nesta campanha, DarkSword e Coruna, visam versões antigas do iOS. O código contém marcadores para versões recentes, mas nenhum exploit funcional para elas.

Desconhece-se como o anúncio passou pela verificação da Meta. As explicações possíveis incluem conteúdo publicitário disfarçado, que se comporta de forma diferente durante a revisão, o abuso de revendedores de publicidade ou um fornecedor publicitário comprometido. Nenhuma foi confirmada, e nada indica uma falha no próprio Instagram. O Instagram foi apenas o canal de entrega.

O domínio que serviu o anúncio malicioso foi ad-track[.]live (escrito assim de propósito para evitar acessos acidentais).

Uma segunda via de entrega: etiquetas esquecidas nos sites

O mesmo grupo opera um esquema de distribuição mais amplo, acompanhado sob o nome DeadTag. Compra domínios expirados que pertenceram a serviços de analítica e publicidade. Milhares de sites continuam a carregar scripts a partir desses domínios, através de etiquetas que ninguém removeu. Assim que os atacantes passam a controlar o domínio, cada um desses sites transforma-se silenciosamente num redirecionador, sem que nenhum tenha sido atacado diretamente.

Foram identificadas centenas de domínios novamente registados, com um tráfego estimado em 135 milhões de visitas mensais a sites capazes de servir o spyware quando o visitante cumpre os critérios de seleção. Esse número mede a exposição potencial, não infeções confirmadas. A maioria dos visitantes redirecionados acaba em burlas comuns. Os utilizadores de iPhone selecionados, com versões vulneráveis do iOS, recebem em vez disso o Coruna ou o DarkSword.

Foram também encontrados carregadores do DarkSword plantados em centenas de lojas online PrestaShop, escondidos em pastas que imitam componentes de analítica. Alguns desses caminhos levavam a uma página falsa da Polymarket usada como isco.

O que o spyware rouba

As variantes observadas procuram palavras-passe do porta-chaves (keychain), informações do dispositivo e carteiras de criptomoedas, incluindo Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink e Bitpie. Ambos os kits conseguem ainda recolher mensagens, contactos, dados de localização e palavras-passe guardadas.

O roubo financeiro parece ser o principal motivo. Os comentários em chinês no código e a infraestrutura associada apontam para operadores de língua chinesa, mas isso não estabelece uma nacionalidade nem qualquer ligação a um Estado. Os operadores do DeadTag continuam por identificar.

Porque é que isto importa

Para uma empresa, a lição é que um telemóvel pessoal é agora uma fonte credível de credenciais corporativas, mesmo quando o funcionário nunca abriu um anexo nem aprovou uma instalação. No caso descrito, os alertas quase em tempo real permitiram à equipa de segurança rodar as credenciais expostas antes de os acessos roubados poderem ser vendidos ou usados contra os sistemas da empresa. Sem essa visibilidade, o primeiro sinal teria sido um início de sessão vindo de onde não devia.

Para os proprietários de sites, a lição é que cada etiqueta de script de terceiros é uma dívida por pagar. Uma etiqueta adicionada por uma agência de marketing com quem já não se trabalha pode ser virada contra os seus visitantes anos depois, sem qualquer alteração no seu próprio código.

O que fazer

Utilizadores de iPhone e administradores de dispositivos móveis

• Instale as atualizações do iOS sem demora; os kits observados até agora só funcionam em versões antigas.
• As pessoas de risco elevado (dirigentes, jornalistas, detentores de criptomoedas) devem ponderar o Modo de Isolamento (Lockdown Mode), aceitando as suas restrições.
• Se suspeitar de um comprometimento, preserve os registos antes de reiniciar o dispositivo, altere as credenciais expostas e transfira as criptomoedas para carteiras novas com frases de recuperação novas.

Proprietários de sites

• Faça o inventário de todos os scripts externos que as suas páginas carregam e remova as etiquetas que já não utiliza.
• Verifique se os domínios por trás das etiquetas restantes ainda pertencem ao fornecedor que espera.
• Aplique uma Content Security Policy para que um domínio sequestrado não possa servir código arbitrário.
• Operadores de PrestaShop: auditem as pastas de módulos e temas à procura de componentes de "analítica" desconhecidos.

Scripts de terceiros obsoletos e referências a domínios expirados são exatamente o tipo de exposição que escapa às revisões de rotina. O nosso serviço de Attack Surface Management mapeia continuamente o que os seus sites carregam do exterior e sinaliza as etiquetas que apontam para domínios expirados ou novamente registados, para que um excerto esquecido não se transforme num canal de entrega de spyware aos seus clientes.