Девятого сентября 2026 года Apple представила первый складной смартфон в своей истории. Продажи iPhone Duo ещё не начались, а в сети уже появились страницы с предложением оформить предзаказ. Большинство из них - обычное мошенничество, рассчитанное на ажиотаж вокруг новинки. Одна устроена иначе: деньги она не выманивает, а с первой секунды пытается взломать телефон посетителя.
Описание
Внешне страница повторяет оформление Apple, вплоть до логотипа и подписи о правах в нижней части. Посетителю обещают ваучер на 500 долларов, покрытие AppleCare+ и статус эксклюзивного предложения от авторизованного партнёра. Рядом идёт отсчёт до конца акции. Таймер, правда, начинается заново при каждой загрузке страницы. Для получения ваучера предлагают заполнить форму: имя, электронная почта, номер телефона. Предпочтительным каналом связи указан WhatsApp. Предоплату не требуют, и именно это усыпляет бдительность. В списке моделей при этом значатся размеры 6,3 и 6,9 дюйма и расцветки, которых у Apple для Duo нет, а ссылки на политику конфиденциальности и условия продаж никуда не ведут. Официальный приём предзаказов Apple открывает только 16 октября.
Несколько фрагментов захваченного кода совпадают с цепочкой DarkSword, о которой Google сообщила в марте. Речь идёт о наборе эксплойтов - вредоносных программ, использующих уязвимости системы. Они позволяют обойти защиту iPhone и получить глубокий доступ к содержимому аппарата. Ключевая особенность схемы в том, что от жертвы ничего не требуется. Ни заполнить форму, ни нажать кнопку, ни подтвердить загрузку. Достаточно открыть страницу, и попытка взлома уже началась.
У формы нет настоящей задачи. В изученной версии отправленные данные никто не читает и никуда не пересылает, а сообщение об успешном предзаказе страница формирует сама. Пользователь видит подтверждение и думает, что просто оставил заявку. В этот момент в фоне работает вредоносный код. Расчёт строится на том, что человек, выбирающий новую модель, пока пользуется старой и не обновлённой.
Подготовка к атаке выглядит так. Посетителям, чей браузер скрипт не распознаёт как Safari, показывают уведомление об ограничении и советуют открыть страницу заново в Safari. Интересует злоумышленников именно этот браузер. Скрытый элемент проверяет версию операционной системы и подбирает подходящий код для загрузки. Дальше цепочка пытается преодолеть защиты телефона.
После успешного проникновения полезная нагрузка (часть вредоносного кода, которая выполняет основную работу) связывается с управляющим сервером. В первом сообщении уходят идентификатор устройства, его характеристики и статус. Следом - список установленных приложений и содержимое заметок. Отдельно код ищет криптовалютные кошельки и пытается извлечь сохранённые пароли из системного хранилища телефона. Если нужные приложения найдены, злоумышленники пробуют выгрузить файлы кошельков, данные хранилища и миниатюры фотографий. Утечка ключей или паролей ставит под угрозу средства владельца.
Затем список целей расширяется: сообщения, история звонков, контакты, голосовая почта, электронная переписка, записи календаря, сохранённые данные о местоположении. Связь с сервером поддерживается постоянно. Оттуда приходят команды: просмотреть папки, забрать файлы и полноразмерные снимки, собрать сведения о приложениях. Код удаляет и диагностические отчёты, которые помогли бы разобраться в случившемся. Так авторы затрудняют работу тем, кто станет расследовать инцидент.
Ограничения у схемы тоже есть. Код рассчитан на работу внутри системного процесса, но перезагрузку телефона может не пережить: механизма автоматического возврата найти не удалось. Изучали захваченные файлы, на реальном iPhone вредоносный код не запускали и утечку данных не наблюдали.
Кто в зоне риска. Цепочка, описанная в марте, была нацелена на версии iOS с 18.4 по 18.6.2. Тогда в iVerify оценили число устройств с такими версиями в 270 миллионов. Это не текущий подсчёт и не оценка того, сколько телефонов способна скомпрометировать конкретная страница: точный диапазон не подтверждён, а в файлах есть код и для более старых версий системы. Apple выпустила исправления для уязвимостей, о которых сообщала Google, и утверждает, что обновлённые устройства защищены. Safari умеет сообщать сайтам устаревшую версию системы, поэтому код может загрузиться и на обновлённом телефоне. Пробить защиту он при этом не сможет.
Меры предосторожности просты. iPhone стоит обновить до последней доступной версии и включить автоматические обновления. Предложения проверяют, не открывая незнакомые ссылки: адрес Apple или известного магазина набирают вручную. Если страница уже открывалась, после обновления телефон перезагружают. Это не отменит возможную утечку, но прервёт работу кода. Владельцам криптокошельков на смартфоне стоит с доверенного устройства создать новый кошелёк с новой фразой восстановления и перевести средства, а для биржевого аккаунта - защитить учётную запись и связаться с биржей. Пароли, которые могли попасть к злоумышленникам, меняют тоже с доверенного устройства: сначала почту, учётную запись Apple, банковские и криптосервисы, с обязательным включением двухфакторной аутентификации. О самой странице сообщают в национальную службу по борьбе с киберпреступностью, сохранив адрес и снимки экрана, но не открывая ссылку повторно.
Индикаторы компрометации
