Фальшивый сайт Apple запускает цепочку эксплойтов DarkSword на iPhone
Фальшивый сайт предварительного заказа, выдающий себя за Apple, заманивает пользователей iPhone ваучером на 500 долларов, якобы выданным компанией, и предложением AppleCare+. Страница запрашивает имя, адрес электронной почты и номер телефона, указывая WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) как предпочтительный способ связи. Однако это предложение, вероятно, отвлекает от основной цели сайта: доставки цепочки эксплойтов DarkSword. Эксплуатация начинается сразу после открытия страницы, отправлять форму или нажимать кнопку не требуется.
Как работает цепочка эксплойтов
Скрипты страницы определяют браузер посетителя и версию iOS. Пользователям браузеров, отличных от Safari, может появиться уведомление об ограниченной поддержке браузера. Пользователей iPhone сайт может перенаправить в Safari или предложить повторно открыть ссылку в этом браузере, который служит целью цепочки эксплуатации. Невидимый встроенный фрейм выбирает дополнительный код в зависимости от версии iOS на устройстве.
Перехваченный код содержит компоненты, связанные с DarkSword, цепочкой эксплойтов, использующей уязвимости iOS. Успешная эксплуатация может позволить обойти средства защиты устройства и получить глубокий доступ к iPhone. Точный диапазон устройств, уязвимых при посещении этой страницы, не подтверждён, хотя её файлы содержат код для нескольких версий iOS.
Какие данные собирает полезная нагрузка
Полезная нагрузка ищет приложения и данные криптовалютных кошельков, включая MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus и Tonkeeper. Она также пытается извлечь учётные данные, хранящиеся в Связке ключей iOS. Если первоначальная связь с сервером злоумышленников устанавливается успешно, вредоносная программа может загрузить файлы кошельков, данные Связки ключей и миниатюры фотографий.
Полезная нагрузка способна поддерживать каналы управления и получать инструкции. Среди возможных действий: получить список каталогов, загрузить файлы и фотографии в полном разрешении, собрать сведения о приложениях и выполнить предоставленный злоумышленником код JavaScript. Кроме того, она пытается удалять диагностические отчёты, которые могли бы помочь криминалистическому анализу.
Компания Apple устранила уязвимости, связанные с задокументированными атаками DarkSword. Авторы отчёта рекомендуют обновить iOS, не переходить по неизвестным ссылкам на предварительный заказ и открывать сайты Apple или розничных продавцов, вводя доверенные адреса напрямую.
Тем, кто открыл страницу, авторы отчёта рекомендуют обновить и перезапустить iPhone, сменить потенциально скомпрометированные пароли с доверенного устройства и включить многофакторную аутентификацию. Если предполагается, что криптовалютный кошелёк скомпрометирован, средства рекомендуют перевести на новый кошелёк.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
