Attacco iPhone mirato alle criptovalute, oltre 1500 siti falsi correlati = SlowMist

Punti salienti dell'articolo

• Confermati oltre 1500 siti di phishing correlati
• Corretto in iOS 26.3, iOS 18 aggiornato a 18.7.7

Oltre 1500 siti falsi correlati a DarkSword

La società di sicurezza blockchain SlowMist ha rivelato il 24 ottobre che sono stati identificati oltre 1500 siti di phishing correlati all'utensile di attacco "DarkSword" che sfrutta una vulnerabilità di iOS. Secondo l'analisi del loro sistema di monitoraggio delle minacce "MistEye", i siti si spacciano per negozi di e-commerce, grandi exchange, portafogli di criptovalute e servizi di gioco per attirare gli utenti. La società ha esortato gli utenti di iPhone e iPad ad aggiornare rapidamente i loro sistemi iOS.

DarkSword combina sei vulnerabilità (difetti software) presenti in iOS per superare il sistema di isolamento delle app (sandbox) e rubare informazioni all'interno del dispositivo. Gli obiettivi includono le credenziali di autenticazione del portachiavi (funzione di archiviazione delle password), le chiavi private dei portafogli memorizzati nel dispositivo e i dati delle note. L'attacco inizia semplicemente aprendo una pagina manomessa in Safari. Il gruppo di intelligence sulle minacce di Google (GTIG) e le aziende di sicurezza iVerify e Lookout hanno pubblicato le informazioni a marzo, e successivamente il codice è trapelato su Internet.

10 intrusioni riuscite su server di attacco

SlowMist ha anche pubblicato un rapporto il 19 ottobre analizzando i server di attacco attivi. Nella dashboard di gestione sono stati registrati 20.187 accessi a pagine e 1.187 tentativi di intrusione in 30 giorni, di cui 9 su 10 sono riusciti a estrarre dati. Gli attacchi sono riusciti su iOS 18.6 fino a 18.7.2 e su iOS 26.0 fino a 26.1.

Altre aziende di sicurezza hanno segnalato nuove tecniche. iVerify ha rivelato il 8 ottobre una variante chiamata "P7 DarkSword" trovata su un iPhone di un dipendente di un'istituzione finanziaria. Censys, un'azienda americana, ha esaminato i server di attacco e ha confermato la funzionalità di ricerca delle frasi seed (stringhe di parole per ripristinare un portafoglio) memorizzate in foto e note. Secondo Malwarebytes, a settembre sono stati trovati anche siti falsi che si spacciavano per la prenotazione di nuovi iPhone.

Attenzione agli aggiornamenti di iOS e alla memorizzazione delle note

Apple ha corretto tutte le vulnerabilità sfruttate da DarkSword entro iOS 26.3. Per i dispositivi che continuano a utilizzare iOS 18, la distribuzione di iOS 18.7.7 è stata ampliata il 1° aprile. Gli aggiornamenti possono essere effettuati tramite l'app Impostazioni, selezionando "Generale" e poi "Aggiornamento software". SlowMist ha chiesto di non memorizzare le credenziali del portafoglio o le frasi seed nelle note e ha avvertito di prestare attenzione ad app sospette. Se si ha memoria di aver aperto pagine sospette su dispositivi non aggiornati, si consiglia di creare un nuovo portafoglio su un altro dispositivo che non ha aperto quelle pagine e trasferire i propri beni.