В Италии обнаружена фишинговая страница, которая копирует официальный сервис цифровых уведомлений SEND, принадлежащий платёжной платформе pagoPA. Жертве предлагают открыть якобы юридически значимое сообщение от государственного органа. Пока пользователь читает поддельный документ, сайт незаметно пытается взломать его iPhone. Это первый задокументированный случай, когда в рядовую фишинговую кампанию против Италии встроена цепочка эксплуатации для устройств Apple. Сама pagoPA и сервис SEND к вредоносной инфраструктуре отношения не имеют и стали жертвами злоупотребления брендом.
Описание
Схема опирается на доверие к официальным каналам. Уведомления через SEND имеют юридическую силу, поэтому сообщение о таком документе выглядит убедительно и подталкивает человека действовать быстро. Первый уровень поддельного сайта показывает простую проверку на робота. Настоящей проверки нет: после нажатия код лишь добавляет параметр к адресу страницы и перезагружает её. Такой барьер отсекает автоматические сканеры, которые не взаимодействуют с интерфейсом. Затем открывается копия портала, собранная как единое приложение. Внутри работает канал обмена сообщениями в реальном времени, поэтому оператор может следить за сессией и менять её сценарий на ходу. У одних посетителей запрашивают данные банковской карты, у других - только код подтверждения.
Главное отличие этой кампании от сотен похожих в том, что она не ограничивается сбором введённых данных. По данным D3Lab, пока жертва остаётся на поддельной странице, та подгружает со стороннего сервера второй ресурс - невидимый блок внутри самой страницы. Этот ресурс определяет модель устройства и версию операционной системы, а затем подбирает подходящий модуль для атаки на браузер Safari. Пользователю не нужно ничего скачивать или открывать вложение: атака начинается с обычного открытия сайта.
Цепочка состоит из трёх этапов. Первый работает с движком Safari и пытается получить доступ к памяти браузера, чтобы управлять её содержимым. В наборе есть отдельные модули под разные диапазоны версий iOS - от ранних сборок до 17.2.1. Второй этап рассчитан на устройства с аппаратной защитой памяти, которую Apple встраивает в свои процессоры; его задача - обойти этот механизм. Третий этап пытается вывести код за пределы песочницы браузера, то есть изолированной среды, которая не позволяет странице свободно читать файлы системы. Именно этот шаг превращает сбой или безобидное выполнение кода на странице в серьёзный взлом. На версиях новее 17.2.1 цепочка останавливается. Телефон с актуальной прошивкой остаётся вне зоны действия набора, тогда как устройство с устаревшей версией становится привлекательной целью.
Список того, что злоумышленники пытаются забрать, отражает их намерения, а не подтверждённый результат. На первом уровне код собирает только то, что доступно браузеру: язык, часовой пояс, размеры экрана, сведения о сети и заряде батареи, содержимое cookies и локальных хранилищ. Эти данные привязывают к идентификатору устройства и отправляют на сервер управления. Если цепочка срабатывает, включается второй уровень. Тогда в списке целей появляются переписка, контакты, история звонков, заметки, календарь, закладки и история Safari, база фотографий, данные о здоровье и системное хранилище паролей. Отдельные процедуры готовят доступ к мессенджерам и криптовалютным кошелькам. Предусмотрено и удалённое выполнение команд: оператор может отправить на заражённый телефон новый код. Комментарии в самом наборе сообщают о сбоях на части конфигураций, а запасной сценарий ограничивается сбором данных через браузер.
Управляющая инфраструктура размещена на арендованном сервере в Лос-Анджелесе. Один узел отдаёт поддельную страницу, которая запускает эксплойт (вредоносный код, использующий уязвимость), другой обслуживает панель администрирования. Через неё оператор видит подключённые устройства, собранные с них сведения, команды и похищенные материалы. Рядом развёрнут вспомогательный сервис для привязки аккаунта WhatsApp по номеру телефона и коду сопряжения. В интерфейсе панели указан контакт автора в Telegram, а подписи и комментарии выполнены на китайском языке. Эти детали описывают рабочую среду, но не дают оснований приписывать кампанию конкретной группировке: ник профиля, аватар и язык интерфейса можно изменить или подделать намеренно.
Названия модулей, трёхэтапная структура и облик панели связывают образец с Coruna Pro V2 - набором кода, который ранее распространялся публично как исследовательский инструмент, а позже получил серверную часть для управления устройствами. Семь модулей с сервера атакующих совпадают с файлами из открытого репозитория побайтово. Остальные компоненты отличаются: в них добавлены сбор сведений, обработка сбоев, удалённые команды и новые процедуры сбора. Речь идёт о доработанной рабочей версии того же кода. Кто именно внёс эти изменения - разработчик, покупатель или третья сторона - из имеющихся данных не следует.
Итальянским пользователям, которые получают уведомления через SEND, важно помнить: официальный портал для граждан требует входа с цифровой идентификацией. Наличие названий SEND или pagoPA на странице само по себе не делает домен законным. Основная защита от описанной цепочки - актуальная версия iOS; на устройствах Apple с последними обновлениями набор не работает. Пользователям с повышенным уровнем риска - журналистам, активистам, сотрудникам госструктур - имеет смысл включить режим блокировки, который ограничивает часть системных функций. Фишинг перестал быть угрозой, связанной только с формой ввода. Теперь одна ссылка может привести к попытке взлома устройства, и разница между защищённым и уязвимым телефоном измеряется версией системы.
Индикаторы компрометации
