Două kituri de exploatare iOS de nivel statal, DarkSword și Coruna, sunt folosite de grupări infracționale în campanii de masă pentru furtul de credențiale și criptomonede.
Campaniile nu aleg persoane, ci telefoane vulnerabile ale unor angajați obișnuiți care doar au deschis o pagină compromisă sau au văzut o reclamă malițioasă.
Trei din patru detecții înregistrate anul acesta de iVerify, o companie de securitate pentru mobile, au fost asociate cu grupări infracționale, nu actori statali.
Raportul anual al companiei arată că în mediul enterprise, toate detecțiile DarkSword și Coruna au implicat angajați cel mult la nivel de managing director, fără dovezi că vreun executiv ar fi fost ținta.
Pe iOS, iVerify estimează cel puțin 1,07 infecții cu spyware la 1.000 de scanări ale utilizatorilor persoane fizice. În cazul corporațiilor, rata de detecție scade la 0,7 din 1.000 de dispozitive monitorizate.
iVerify pune această rată scăzută de detecție pe seama politicilor de securitate implementate în mediul corporate, precum enforced patching, controale la nivel de rețea, și detectarea de dispozitive noi.
Coruna, dezvăluit pe 3 martie de Google Threat Intelligence Group (GTIG) și iVerify, cuprinde cinci lanțuri complete de exploatare și 23 de exploit-uri pentru iOS 13.0–17.2.1.
Kitul a trecut de la clientul unui vendor de supraveghere la un grup de spionaj suspectat a fi rusesc, apoi la un actor din China motivat financiar, potrivit GTIG.
DarkSword pentru iOS 18.4–18.7 a urmat un traseu similar 15 zile mai târziu, iar o versiune nouă a apărut pe GitHub într-o săptămână.
De atunci, ambele kituri au fost copiate și modificate, iar atacatorul nu mai are nevoie de vulnerabilități noi, ci doar de telefoane neactualizate, notează iVerify.
Cercetătorii spun că cea mai capabilă variantă DarkSword, P7, elimină logurile de debugging și adaugă un canal command-and-control (C2) bidirecțional, și comenzi care sustrag date din portofele cripto, notițe din Apple Notes și fotografii.
Pe Instagram, o reclamă servită de pe ad-track[.]live a declanșat infecția cu o variantă DarkSword fără niciun click, în timp ce utilizatorul doar derula feed-ul, arată telemetria iVerify.
Platformele de publicitate îi permit atacatorului să vizeze mai ales iPhone-urile cu versiuni vulnerabile și utilizatorii interesați de monede digitale.
Pe 15 septembrie, gruparea DeadTag a cumpărat domeniul expirat ecomtrack[.]io și a preluat controlul scriptului de analiză e-commerce rămas în temele a mii de magazine online, cu 135 de milioane de vizite lunare cumulate.
Prin brokeri de trafic, vizitatorii ajungeau, printre altele, pe o platformă falsă de trading cripto care servea DarkSword pe Safari cu iOS 18.4.0–18.7.2, arată analiza Report URI, care a corelat build-ul cu P7.
DarkSword extrage keychain-ul și conturile autentificate. Pe un telefon personal cu aplicații de serviciu, keychain-ul conține credențialele pentru e-mailul corporativ, SSO, chat și VPN, astfel că atacatorul se poate autentifica în serviciile companiei exact ca angajatul.
Coruna caută fraze de recuperare în texte și imagini și vizează 18 aplicații de portofel. Dacă un telefon folosit pentru serviciu este compromis, toate credențialele de pe el trebuie schimbate, recomandă iVerify.