Cuộc tấn công iPhone nhắm vào tiền ảo, hơn 1500 trang giả mạo liên quan = SlowMist

Điểm chính của bài viết

• Đã xác nhận hơn 1.500 trang web lừa đảo liên quan
• Đã được sửa chữa từ iOS 26.3 trở đi, iOS 18 đã cập nhật lên 18.7.7

Hơn 1.500 trang giả mạo liên quan đến DarkSword

Công ty bảo mật blockchain SlowMist đã công bố vào ngày 24 rằng họ đã xác nhận hơn 1.500 trang web lừa đảo liên quan đến công cụ tấn công "DarkSword" khai thác lỗ hổng của iOS. Phân tích từ hệ thống giám sát mối đe dọa "MistEye" của công ty cho thấy các trang web này giả mạo các trang thương mại điện tử, sàn giao dịch lớn, ví tiền ảo và dịch vụ trò chơi để dụ dỗ người dùng. Công ty đã kêu gọi người dùng iPhone và iPad nhanh chóng cập nhật iOS.

DarkSword kết hợp sáu lỗ hổng (khiếm khuyết phần mềm) tồn tại trên iOS, vượt qua cơ chế cách ly ứng dụng (sandbox) để đánh cắp thông tin trong thiết bị. Mục tiêu của nó là thông tin xác thực của Keychain (chức năng lưu trữ mật khẩu), khóa bí mật của ví được lưu trữ trên thiết bị và dữ liệu ghi chú. Chỉ cần mở trang bị giả mạo trên Safari là cuộc tấn công bắt đầu. Nhóm tình báo mối đe dọa của Google (GTIG) cùng với các công ty bảo mật iVerify và Lookout đã công bố vào tháng 3, và sau đó mã đã bị rò rỉ trên internet.

10 lần xâm nhập thành công trên máy chủ tấn công

SlowMist cũng đã công bố một báo cáo phân tích máy chủ tấn công đang hoạt động vào ngày 19 tháng 10. Trên bảng điều khiển quản lý, đã ghi nhận 20.187 lượt xem trang và 1.187 lần thử xâm nhập trong 30 ngày, trong đó 9 trong số 10 lần thành công đã tiến tới việc lấy dữ liệu. Cuộc tấn công thành công trên các phiên bản iOS từ 18.6 đến 18.7.2 và từ 26.0 đến 26.1.

Các công ty bảo mật khác cũng đã báo cáo các phương thức mới. iVerify đã công bố vào ngày 8 tháng 10 về một biến thể "P7 DarkSword" được phát hiện trên iPhone của nhân viên ngân hàng. Censys của Mỹ đã kiểm tra máy chủ tấn công và xác nhận chức năng tìm kiếm cụm từ seed (chuỗi từ để khôi phục ví) được lưu trong ảnh và ghi chú. Theo Malwarebytes, vào tháng 9, cũng đã phát hiện các trang giả mạo dưới dạng đặt hàng trước cho iPhone mới.

Lưu ý cập nhật iOS và lưu trữ ghi chú

Apple đã sửa tất cả các lỗ hổng mà DarkSword đã khai thác trước phiên bản iOS 26.3. Đối với các thiết bị tiếp tục sử dụng iOS 18, họ cũng đã mở rộng đối tượng phát hành iOS 18.7.7 vào ngày 1 tháng 4. Việc cập nhật có thể thực hiện từ ứng dụng Cài đặt trong phần "Chung" và "Cập nhật phần mềm". SlowMist đã yêu cầu không lưu thông tin xác thực ví và cụm từ seed trong ghi chú, đồng thời cảnh báo về các ứng dụng đáng ngờ. Nếu người dùng có ký ức về việc mở trang đáng ngờ trên thiết bị trước khi cập nhật, họ được khuyến nghị tạo một ví mới trên một thiết bị khác không mở trang đó và chuyển tài sản của mình.