Атака на iPhone, нацеленная на криптовалюту, более 1500 связанных фальшивых сайтов = SlowMist

Основные моменты статьи

• Подтверждено более 1500 связанных фишинговых сайтов
• Исправлено в iOS 26.3 и выше, iOS 18 обновлено до 18.7.7

Более 1500 фальшивых сайтов, связанных с DarkSword

Компания по безопасности блокчейна SlowMist 24 октября сообщила, что она подтвердила более 1500 фишинговых сайтов, связанных с инструментом атаки "DarkSword", использующим уязвимости iOS. Анализ системы мониторинга угроз компании "MistEye" показал, что злоумышленники маскируются под интернет-магазины, крупные биржи, криптовалютные кошельки и игровые сервисы, чтобы заманить пользователей. Компания призвала пользователей iPhone и iPad немедленно обновить iOS.

DarkSword использует шесть уязвимостей (дефектов программного обеспечения), существовавших в iOS, чтобы обойти механизм изоляции приложений (песочница) и украсть информацию с устройства. Целями являются учетные данные ключевой цепочки (функция хранения паролей), секретные ключи кошельков, сохраненные на устройстве, и данные заметок. Атака начинается просто при открытии поддельной страницы в Safari. Группа угроз Google (GTIG) и компании по безопасности iVerify и Lookout опубликовали информацию об этом в марте, после чего код утек в интернет.

10 успешных вторжений на атакующем сервере

SlowMist также опубликовала отчет 19 октября, в котором анализировался работающий атакующий сервер. В панели управления было зафиксировано 20,187 просмотров страниц и 1,187 попыток вторжения за 30 дней, из которых 9 из 10 успешных попыток привели к утечке данных. Успешные атаки происходят на iOS 18.6 до 18.7.2 и iOS 26.0 до 26.1.

Другие компании по безопасности также сообщают о новых методах. iVerify 8 октября опубликовала подвид "P7 DarkSword", найденный на iPhone сотрудника финансового учреждения. Американская компания Censys исследовала атакующие серверы и подтвердила наличие функции поиска фраз для восстановления (seed phrases), сохраненных в фотографиях и заметках. По данным Malwarebytes, в сентябре также были обнаружены фальшивые сайты, маскирующиеся под предзаказ новых iPhone.

Обновление iOS и осторожность при сохранении заметок

Apple исправила все уязвимости, использованные DarkSword, к iOS 26.3. Для устройств, продолжающих использовать iOS 18, обновление iOS 18.7.7 было расширено 1 апреля. Обновление можно выполнить через "Общие настройки" в приложении "Настройки". SlowMist призвала не сохранять учетные данные кошельков и seed-фразы в заметках и быть осторожными с подозрительными приложениями. Если вы открывали подозрительную страницу на устройстве до обновления, рекомендуется создать новый кошелек на другом устройстве, которое не открывало эту страницу, и перевести активы.