Шпионское ПО для iPhone перестало быть оружием исключительно спецслужб. По исследованию iVerify, три четверти выявленных заражений связаны с обычными киберпреступниками. Под удар попадают рядовые сотрудники и владельцы смартфонов, которые даже не подозревают о слежке.
Компания iVerify опубликовала исследование 10 ноября. Среди пользователей её потребительского сервиса специалисты обнаружили 1,07 заражения на тысячу проверок, то есть примерно одно на 935. В корпоративной выборке показатель составил 0,7 на тысячу. Точное число проверенных устройств не раскрыто. Статистика относится к аудитории сервиса, а не ко всем владельцам iPhone.
Около 75% выявленных случаев связаны с преступными кампаниями, в которых применяют наборы эксплойтов Coruna и DarkSword. В остальных случаях встречались, в частности, коммерческие программы вроде Pegasus. Преступников интересуют прежде всего пароли, переписка и криптовалюта, а не политические сведения. Средства слежки теперь служат массовой краже денег.
Для заражения необязательно устанавливать подозрительное приложение. Вредоносный код доставляют через рекламу, фишинговые страницы и взломанные сайты. При атаке типа «водопой» достаточно открыть заражённую страницу на уязвимой версии iOS. Цепочка эксплойтов использует ошибки браузера и операционной системы, чтобы обойти защиту смартфона. Некоторые сценарии срабатывают без дополнительного нажатия.
Coruna включает 23 эксплойта и пять цепочек атак для iOS 13–17.2.1. Ранее подобный инструментарий применяли в операциях кибершпионажа, позднее он попал к преступным группам. DarkSword использует другую цепочку уязвимостей, затрагивающую отдельные версии iOS 18. Оба набора способны похищать сохранённые пароли, сообщения, фотографии и другие файлы, а некоторые вредоносные модули ищут ключи криптокошельков.
По словам сооснователя iVerify Рокки Коула, при преступных атаках заражённые телефоны принадлежали не топ-менеджерам, а обычным сотрудникам. Компрометация личного устройства может открыть доступ к рабочей почте и сервисам, если на смартфоне хранятся корпоративные учётные данные. Для компании из списка Fortune 500 с 61 тысячей сотрудников iVerify оценивает число заражений в 65 за год.
Ещё одна проблема связана с предупреждениями Apple. Согласно исследованию iVerify, владельцы телефонов с подтверждённым заражением Coruna или DarkSword не получали уведомлений компании об угрозе целевой слежки. Вредоносные программы также всё лучше удаляют следы своей работы. Из-за запоздалого обнаружения восстановить картину атаки бывает сложно.
Авторы рекомендуют компаниям не ограничивать защиту руководителями и другими потенциально ценными целями. Обновления iOS закрывают известные уязвимости, но для обнаружения взломов нужны средства проверки устройств. История Coruna показывает, как дорогой инструмент кибершпионажа может попасть на преступный рынок, а разбор DarkSword объясняет, почему даже обычное посещение сайта способно закончиться потерей данных.