Atak na iPhone'y celujący w kryptowaluty, ponad 1500 powiązanych fałszywych stron = SlowMist

Najważniejsze punkty artykułu

• Potwierdzono ponad 1500 powiązanych stron phishingowych
• Od iOS 26.3 naprawiono, iOS 18 zaktualizowano do 18.7.7

Ponad 1500 fałszywych stron związanych z DarkSword

Firma zajmująca się bezpieczeństwem blockchain, SlowMist, ujawniła 24 października, że potwierdziła ponad 1500 stron phishingowych związanych z narzędziem atakującym „DarkSword”, które wykorzystuje lukę w iOS. Analiza ich systemu monitorowania zagrożeń „MistEye” wykazała, że strony te podszywają się pod sklepy internetowe, duże giełdy, portfele kryptowalutowe oraz usługi gier, aby zwabić użytkowników. Firma wezwała użytkowników iPhone'ów i iPadów do szybkiej aktualizacji iOS.

DarkSword łączy sześć luk (wad oprogramowania) w iOS, aby przełamać mechanizm izolacji aplikacji (sandbox) i kraść informacje z urządzenia. Celem są dane uwierzytelniające z Keychain (funkcja przechowywania haseł), tajne klucze portfeli zapisane na urządzeniu oraz dane z notatek. Atak rozpoczyna się po otwarciu zmanipulowanej strony w Safari. Grupa wywiadowcza zagrożeń Google (GTIG) oraz firmy bezpieczeństwa iVerify i Lookout ogłosiły to w marcu, a następnie kod wyciekł do internetu.

10 udanych włamań na serwerze atakującym

SlowMist opublikował również raport 19 października, analizując działający serwer atakujący. Na panelu zarządzania zarejestrowano 20,187 odsłon stron i 1,187 prób włamań w ciągu 30 dni, z czego 9 z 10 udanych włamań doprowadziło do wykradzenia danych. Ataki były skuteczne w wersjach iOS od 18.6 do 18.7.2 oraz od 26.0 do 26.1.

Inne firmy zajmujące się bezpieczeństwem również zgłosiły nowe metody ataków. iVerify ogłosiło 8 października, że znalazło wariant „P7 DarkSword” na iPhone'ach pracowników instytucji finansowych. Amerykańska firma Censys zbadała serwery atakujące i potwierdziła funkcję wyszukiwania fraz seed (ciąg słów do przywracania portfela) zapisanych w zdjęciach i notatkach. Według Malwarebytes, we wrześniu znaleziono również fałszywe strony podszywające się pod przedsprzedaż nowego iPhone'a.

Uwaga na aktualizacje i zapisywanie w notatkach

Apple naprawiło wszystkie luki wykorzystane przez DarkSword do iOS 26.3. Dla urządzeń nadal używających iOS 18, rozszerzono dystrybucję iOS 18.7.7 od 1 kwietnia. Aktualizacje można przeprowadzić w aplikacji ustawień, w sekcji „Ogólne” -> „Aktualizacja oprogramowania”. SlowMist zaapelował, aby nie przechowywać danych uwierzytelniających portfela ani fraz seed w notatkach i zwrócił uwagę na podejrzane aplikacje. Jeśli ktoś otworzył podejrzaną stronę na urządzeniu przed aktualizacją, zaleca się utworzenie nowego portfela na innym urządzeniu, które nie otworzyło tej strony, i przeniesienie aktywów.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.