サイバー犯罪者が、悪意あるInstagram広告と放置されたウェブサイト用トラッキングツールを悪用し、ユーザーが広告をクリックしなくても脆弱なiPhoneに感染させています。
Report URIは、強力なiOS向けエクスプロイトキットである「Coruna」と「DarkSword」が、広告インフラを通じて配布されていたキャンペーンについて解説しています。
研究者らは、これを「ハーフクリック」攻撃と呼んでいます。ユーザーは、影響を受けたウェブサイトを訪問するか、ソーシャルメディアのフィードを閲覧する必要があります。ただし、感染は悪意ある広告コンテンツが読み込まれた時点で自動的に発生します。今回の調査結果が対象とするのは脆弱なバージョンのiOSであり、すべてのiPhoneが影響を受けるわけではありません。
あるインシデントでは、iVerifyが、ad-track[.]liveから配信されたワールドカップをテーマにしたInstagram広告の中に、DarkSword のP7亜種を検出しました。従業員のデバイスは、フィードをスクロールしている最中に感染しました。
この従業員は後日、別のグループが拡散した悪意あるリンクを通じて、DarkSwordの別の亜種にも遭遇しました。
セキュリティアラートによって、この組織は、攻撃者が盗んだ情報を社内アクセスに悪用する前に認証情報を更新できました。
Report URIは、「DeadTag」と呼ばれるトラフィック操作を特定しました。この攻撃者は、広告サービスや分析サービスがかつて使用していた失効ドメインを購入しています。
数千のウェブサイトが今もこれらのドメインにスクリプトを要求しており、新たな所有者は訪問者を悪意あるコンテンツへ誘導できる状態です。
トラフィックの大半は詐欺サイトに到達しますが、条件に合致するiPhoneの訪問者にはCoruna またはDarkSwordが配信されます。研究者らは、数千のウェブサイトに組み込まれた、再利用されている数百のドメインを特定しました。
影響を受けたウェブサイトの訪問数は、合計で月間約1億3,500万件に上ります。この数字は、これらのサイトを通じた潜在的な露出規模を示すもので、感染が確認された件数や、侵害されたデバイスの実数を表すものではありません。
調査チームは、数百のPrestaShopストアでもDarkSwordのローダーを発見しました。ローダーは、分析コンポーネントに似たフォルダー内に隠されていました。別の衣料品小売業者のサイトは、他のウェブサイトと関連するインフラから両方のエクスプロイトキットを読み込んでいました。
今回の調査は、Citizen Labが別途実施した「AdFection」調査に続くものです。この調査では、Discover-Techの広告が、Al Jazeeraで発生したCandiruスパイウェア感染と関連していたことが明らかになりました。
この事例は、標的型広告が、表示された時点でスパイウェアを自動的に配信し得ることを示しました。
Instagramのキャンペーンについて、研究者らは、悪意ある広告がMetaの審査をどのように通過したのかを特定できていません。考えられる理由は、いずれも確認されていません。
確認されたペイロードは、iPhoneのキーチェーンに保存されたパスワードや機密情報、暗号資産アプリ、デバイス情報を狙います。標的となるウォレットアプリには、Coinbase Wallet、Trust Wallet、Exodus、TronLink、Bitpie、OKX、Bitgetが含まれます。
研究者らは、盗まれた情報が同じサーバーに送られていたことから、両方のエクスプロイトキットの配布を1人の攻撃者に結びつけました。主な動機は金銭の窃取とみられますが、収集された情報は、さらなる犯罪行為にも利用される可能性があります。
DeadTagの運営者は特定されていません。iVerifyによると、コード内の中国語のコメントや、中国語圏の暗号資産・ギャンブル系サイトに関連するインフラから、中国語を話すエクスプロイト集団である可能性がうかがえます。ただし、国籍や政府の関与までは裏付けられていません。
研究者らは、iOS 26および27を標的にするための準備も確認しました。もっとも、そのために試みられた適応の大半は機能していなかったとしています。今回の調査結果は、これらのバージョンに対して有効なエクスプロイトチェーンが存在することを示すものではありません。
iPhoneユーザーは、提供されているiOSのセキュリティアップデートを速やかに適用してください。リスクの高い人はロックダウンモードの利用を検討し、組織はモバイルデバイスを監視して不審な動きを調査する必要があります。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。チームで試す
翻訳元: https://cyberpress.org/instagram-ads-exploit-iphones/
