iVerify описала новый класс атак на iPhone: half-click, при котором эксплойт запускается сразу после загрузки рекламного объявления. Пользователю не нужно нажимать на баннер, открывать ссылку или устанавливать приложение - достаточно листать ленту или открыть страницу с рекламой. В одном из наблюдений атака произошла во время обычного просмотра Instagram.
По данным iVerify, в рекламе доставлялся вариант DarkSword, а вероятной целью была кража криптовалюты. Рекламные платформы позволяют выбирать аудиторию по устройству, версии iOS, географии и интересам, поэтому атакующий может показать эксплойт только подходящим телефонам. Для iOS 18.4-18.7 это резко повышает эффективность: владельцы уже обновлённых устройств просто не увидят вредоносный креатив.
Исследователи связывают рост half-click с опытом mercenary-рынка: похожую схему Citizen Lab описывала у Discover-Tech/Candiru, где рекламный сервер проверял устройство и отправлял полезную нагрузку только выбранным целям. Теперь тот же приём, по оценке iVerify, перешёл к криминальным кампаниям и используется в массовом масштабе.
Отдельный канал - забытые сторонние скрипты. Домен ecomtrack.io, срок регистрации которого истёк, перерегистрировали, а старый тег остался в темах интернет-магазинов. В итоге код нового владельца начал собирать данные посетителей и перенаправлять часть трафика на мошеннические сайты; один из них проверял Safari на iOS 18.4.0-18.7.2 и отдавал DarkSword. Магазины при этом не были вредоносными.
Защита в таких случаях не сводится к блокировке «плохих сайтов»: рекламные и аналитические цепочки постоянно меняются, а вредоносный ответ видят только выбранные устройства. iVerify рекомендует обновлять iOS, вводить минимальную версию ОС для корпоративного доступа на BYOD, включать Lockdown Mode для наиболее рискованных сотрудников и собирать телеметрию с самого телефона, желательно в течение двух часов, пока короткоживущие индикаторы не исчезли.
Ключевое отличие half-click от классического фишинга в том, что жертва не совершает опасного действия. Она открывает приложение, где есть реклама, и этого достаточно. Поэтому обучение сотрудников «не кликать по подозрительным ссылкам» здесь почти не работает: клика нет, а вредоносный код уже выполняется.
Для компаний с BYOD важен не только патч, но и политика минимальной версии iOS. Если MDM не требует обновления личных телефонов, корпоративный доступ можно закрыть для устройств ниже безопасной версии. Для наиболее рискованных сотрудников остаётся Lockdown Mode: он ломает часть привычных сценариев, зато снижает поверхность атаки. Администраторам также стоит проверять не только URL, но и сторонние скрипты в собственных сайтах и темах — забытый аналитический тег может пережить своего владельца.
