Бесплатные виртуальные серверы оказались приманкой для взлома iPhone с целью кражи криптокошельков

Запуск атаки был продуман до мелочей. Вредоносный скрипт подключался как предзагружаемый ресурс, поэтому активировался сразу после готовности страницы к взаимодействию. Следующие модули загружались через скрытый элемент страницы, невидимый для глаза. Каждый новый этап инициировался только после успешного выполнения предыдущего, что позволяло постепенно обходить защитные механизмы платформы. Дополнительно код определял, не открыт ли браузер внутри другого приложения, например встроенной оболочки соцсети или мессенджера. Такие окружения исключались, поскольку могли помешать корректной работе эксплойта. На устройстве сохранялись метки, предотвращавшие повторное срабатывание, что также затрудняло обнаружение автоматизированными системами.

Кампания, как выяснили аналитики SlowMist, базируется на наборе из шести уязвимостей, ранее применявшихся в кибершпионской операции DarkSword. Описание этой операции публиковала команда Google Threat Intelligence Group (GTIG). Совпадения прослеживаются в самих уязвимостях, структуре цепочки атак и характерных комментариях, оставленных в коде. Бреши затрагивают браузерный движок, компонент обработки графики и ядро операционной системы. На первых этапах существования DarkSword три из шести уязвимостей были неизвестны Apple. К моменту появления нынешней кампании производитель уже выпустил исправления для всех шести. Поэтому атаку можно классифицировать как повторное использование уже исправленных уязвимостей.

Когда вредоносному коду удаётся обойти все уровни защиты, он внедряется в три системные службы. Одна управляет главным экраном и отвечает за работу приложений. Вторая имеет легальный доступ к защищённому хранилищу паролей Keychain, что позволяет расшифровывать его содержимое. Третья обрабатывает данные нажатий на экранной клавиатуре. Злоумышленники используют эту связку для сбора локальных файлов, похищения паролей и восстановительных сид-фраз, а также для перехвата ввода в выбранных приложениях. Целевыми программами значатся криптокошельки imToken, TokenPocket и TronLink. Совпадение списка приложений в задании по перехвату клавиатуры подтверждает направленность атаки именно на кражу активов из кошельков.

Впрочем, аналитики сделали ряд оговорок. Все исследования проводились статическими методами, без запуска вредоносных образцов на реальных устройствах. Поэтому наличие определённых функций в коде описывает лишь потенциальные возможности, а не успешно проведённые операции. Кроме того, для группы более старых устройств (iOS 15.2-17.1 и iPod touch) существовала отдельная ветвь атаки, но она оказалась заблокирована сетевыми экранами, и её полный функционал изучить не удалось. Сделанные выводы справедливы только для основной ветки, ориентированной на iOS 18.4-18.6.2.

Отдельного внимания заслуживает факт, что данная кампания не единственная с таким набором инструментов. Примерно в то же время другие исследователи публиковали сведения о вредоносных пакетах для разработчиков, использующих схожие уязвимости. Это указывает на появление на чёрном рынке готовых связок эксплойтов, первоначально редких и сложных. Злоумышленники адаптируют наработки шпионских групп под свои финансовые цели.

Для владельцев криптокошельков подобная угроза особенно опасна. Сид-фраза или закрытый ключ, оказавшиеся в руках атакующего, дают ему полный контроль над средствами. В отличие от банковского счёта, транзакции в блокчейне необратимы и не могут быть оспорены.

Чтобы обезопасить себя, рекомендуется в первую очередь установить актуальные обновления iOS, закрывающие все шесть уязвимостей. Также стоит критически относиться к предложениям бесплатных услуг, переходить по ссылкам только из проверенных источников. Владельцам криптокошельков стоит включить двухфакторную аутентификацию, не хранить сид-фразы в цифровом виде и регулярно контролировать историю транзакций. При подозрении на заражение следует провести проверку устройства, сменить пароли и перевести средства на новые адреса.