Reclame malițioase pe Instagram infectează iPhone-uri cu spyware fără niciun click

O reclamă-capcană de pe Instagram a fost surprinsă infectând cu spyware iPhone-ul unui angajat, în timp ce acesta nu făcea altceva decât să deruleze feed-ul. Reclama, cu tematică de Cupa Mondială, a livrat o variantă a kitului de exploatare iOS DarkSword. Nu a fost nevoie de niciun click, nicio descărcare și nicio instalare de aplicație.

Ce s-a întâmplat

Infecția a ieșit la iveală în timpul verificării telefonului personal al unui angajat dintr-o organizație care folosește detecție de amenințări pe mobil. Reclama s-a încărcat în feed-ul Instagram, iar lanțul de exploatare a rulat singur, fără niciun semn vizibil pentru utilizator. Ulterior, aceeași persoană a fost lovită din nou de o altă variantă DarkSword, de data aceasta printr-un link malițios trimis de ceea ce pare a fi o grupare diferită.

Atacul este mai corect descris drept „half-click”: victima trebuie să fie pe o pagină sau pe o platformă unde apare reclama, dar nu trebuie să facă nimic altceva. Nu este vorba de un atac fără nicio interacțiune asupra unui telefon lăsat pe masă și nu s-a demonstrat că funcționează pe iPhone-uri actualizate la zi. Ambele kituri observate în această campanie, DarkSword și Coruna, vizează versiuni mai vechi de iOS. Codul conține locuri rezervate pentru versiuni noi, dar niciun exploit funcțional pentru ele.

Nu se știe cum a trecut reclama de verificările Meta. Explicațiile posibile includ conținut publicitar mascat, care se comportă diferit în timpul verificării, abuzul unor reselleri de publicitate sau un furnizor de reclame compromis. Niciuna nu a fost confirmată și nimic nu indică o vulnerabilitate în Instagram în sine. Instagram a fost doar canalul de livrare.

Domeniul care a servit reclama malițioasă a fost ad-track[.]live (scris astfel intenționat, pentru a nu putea fi accesat accidental).

A doua cale de livrare: etichetele uitate de pe site-uri

Aceeași grupare operează și o schemă de distribuție mai largă, urmărită sub numele DeadTag. Cumpără domenii expirate care au aparținut cândva unor servicii de analytics și publicitate. Mii de site-uri încă încarcă scripturi de pe acele domenii, prin etichete pe care nimeni nu le-a mai șters. Odată ce atacatorii dețin domeniul, fiecare dintre aceste site-uri devine, pe tăcute, un redirector, fără ca vreunul să fie spart direct.

Au fost identificate sute de domenii reînregistrate, cu un trafic estimat la 135 de milioane de vizite lunare către site-uri capabile să servească spyware-ul atunci când vizitatorul îndeplinește criteriile de țintire. Cifra măsoară expunerea potențială, nu infecțiile confirmate. Majoritatea vizitatorilor redirecționați ajung pe escrocherii obișnuite. Utilizatorii de iPhone selectați, cu versiuni vulnerabile de iOS, primesc în schimb Coruna sau DarkSword.

Încărcătoare DarkSword au fost găsite și pe sute de magazine online PrestaShop, ascunse în foldere care imită componente de analytics. Unele dintre aceste căi duceau către o pagină falsă Polymarket, folosită ca momeală.

Ce fură spyware-ul

Variantele observate vizează parolele din keychain, informațiile despre dispozitiv și portofelele de criptomonede, inclusiv Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink și Bitpie. Ambele kituri pot colecta și mesaje, contacte, date de localizare și parole salvate.

Furtul financiar pare să fie motivul principal. Comentariile în limba chineză din cod și infrastructura asociată indică operatori vorbitori de chineză, însă asta nu stabilește o naționalitate și nici o legătură cu un stat. Operatorii DeadTag rămân neidentificați.

De ce contează

Pentru o companie, lecția este că un telefon personal a devenit o sursă credibilă de credențiale corporative, chiar și atunci când angajatul nu a deschis niciun atașament și nu a aprobat nicio instalare. În cazul de mai sus, alertarea aproape în timp real a permis echipei de securitate să schimbe credențialele expuse înainte ca datele de autentificare furate să fie vândute sau folosite împotriva sistemelor companiei. Fără această vizibilitate, primul semn ar fi fost o autentificare dintr-un loc în care nu ar fi trebuit să apară.

Pentru proprietarii de site-uri, lecția este că fiecare etichetă de script extern este o datorie neachitată. O etichetă adăugată de o agenție de marketing cu care nu mai lucrați de mult poate fi întoarsă împotriva vizitatorilor voștri ani mai târziu, fără nicio modificare în propriul cod.

Ce este de făcut

Utilizatori de iPhone și administratori de dispozitive mobile

• Instalați prompt actualizările iOS; kiturile observate până acum funcționează doar pe versiuni mai vechi.
• Persoanele cu risc ridicat (directori, jurnaliști, deținători de criptomonede) ar trebui să ia în calcul Lockdown Mode, acceptându-i restricțiile.
• Dacă suspectați o compromitere, păstrați jurnalele înainte de a reporni dispozitivul, schimbați credențialele expuse și mutați criptomonedele în portofele noi, cu fraze de recuperare noi.

Proprietari de site-uri

• Inventariați fiecare script extern încărcat de paginile voastre și eliminați etichetele pe care nu le mai folosiți.
• Verificați dacă domeniile din spatele etichetelor rămase mai aparțin furnizorului la care vă așteptați.
• Impuneți o politică Content Security Policy, astfel încât un domeniu deturnat să nu poată servi cod arbitrar.
• Operatorii PrestaShop: auditați folderele de module și teme pentru componente „analytics” necunoscute.

Scripturile externe uitate și referințele către domenii expirate sunt exact genul de expunere care scapă verificărilor de rutină. Serviciul nostru de Attack Surface Management cartografiază continuu ce încarcă site-urile voastre din exterior și semnalează etichetele care indică domenii expirate sau reînregistrate, astfel încât un fragment de cod uitat să nu devină un canal de livrare a spyware-ului către clienții voștri.