AntwortenVeröffentlicht22 Quellen
iPhone-Spähsoftware ohne Klick: Wenn Anzeigen und alte Website-Tags zur Falle werden
Eine Instagram Anzeige für Profifußball soll das iPhone eines Mitarbeiters eines Finanzinstituts angegriffen haben, als dieser daran vorbeiscrollte. Bei einer zweiten Kampagne nutzten Angreifer abgelaufene Domains, die weiterhin in den Tags seriöser Websites eingebunden waren.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- Eine Instagram Anzeige für Profifußball soll das iPhone eines Mitarbeiters eines Finanzinstituts angegriffen haben, als dieser daran vorbeiscrollte.
- Bei einer zweiten Kampagne nutzten Angreifer abgelaufene Domains, die weiterhin in den Tags seriöser Websites eingebunden waren.
- Die Berichte nennen unterschiedliche Zahlen zu betroffenen Websites und Besuchen.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What did iVerify and Report URI uncover about two suspected China-linked criminal campaigns spreading zero-click iPhone spyware through onli. Article summary: iVerify and Report URI reported two campaigns in which suspected China-linked criminal groups used online advertising and legitimate websites to deliver iPhone spyware without victims clicking a malicious link. The findi. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
Eine Instagram-Anzeige für Profifußball und vergessener Code auf seriösen Websites waren laut iVerify und Report URI zwei Wege, über die Spähsoftware auf iPhones gelangen konnte. In beiden Fällen musste niemand auf einen verdächtigen Link klicken. Die beteiligten Gruppen stehen laut Berichten mutmaßlich mit China in Verbindung; wer die Kampagnen tatsächlich gesteuert hat, ist damit nicht belegt. 2
3
Zwei Wege auf ein iPhone
Im ersten Fall stellte iVerify fest, dass das iPhone eines Mitarbeiters eines Finanzinstituts infiziert wurde, nachdem dieser auf Instagram an einer Anzeige für Profifußball vorbeigescrollt war. Der Angriff stahl Anmeldedaten und durchsuchte das Gerät nach Krypto-Wallets. Ein Bericht zufolge prüfte die Schadsoftware zunächst das installierte Betriebssystem. Die vorliegenden Darstellungen reichen jedoch nicht aus, um den gesamten Ablauf der Auswahl und Ausführung passender Exploits unabhängig zu bestätigen. 1
2
Der zweite Weg führte über abgelaufene Domains, die weiterhin in Tags auf seriösen Websites eingebunden waren. Läuft eine Domain aus, die etwa für Analyse- oder Werbedienste genutzt wurde, und registriert sie anschließend jemand anderes, können alte Website-Tags unbemerkt weiterhin auf diese Domain zugreifen. Report URI beschreibt, wie Angreifer solche Domains übernahmen und Besucher von den Tags auf Websites zu einer Exploit-Auslieferung umleiteten. Dafür musste niemand bewusst eine von Angreifern erstellte Seite aufrufen: Auch eine seriöse Website kann eine manipulierte Drittanbieter-Ressource laden. 3
11
Warum sich die Zahlen unterscheiden
Die Berichte nennen mehrere Werte, die unterschiedliche Dinge zählen und nicht als Infektionszahlen für iPhones verstanden werden sollten:
- Ein Bericht nennt rund 630 abgelaufene Domains und knapp 8.000 seriöse Websites, die diese noch verwendeten.
3
- Andere Berichte sprechen von mindestens 6.600 kompromittierten Websites mit zusammen rund 49 Millionen Besuchen pro Monat.
4
6
- Eine weitere Schätzung nennt 248 Websites mit etwa 8 Millionen monatlichen Besuchen, die Spähsoftware direkt auslieferten.
31
Gezählt werden hier Domains, Websites oder Website-Besuche – nicht bestätigte Infektionen auf iPhones. Die verfügbaren Berichte erklären nicht, wie sich die Angaben von knapp 8.000 und mindestens 6.600 Websites zueinander verhalten. Daher sollten sie als unterschiedliche veröffentlichte Schätzungen betrachtet werden, nicht als eine abschließend geklärte Gesamtzahl.
Coruna, DarkSword und offene Fragen zur Zuordnung
Report URI und iVerify identifizierten bei ihren Untersuchungen die iOS-Exploit-Kits Coruna und DarkSword. iVerify zufolge wurden die beiden Kits gelegentlich zusammen eingesetzt; diese Kombination nannte das Unternehmen „DarkCoruna“. iVerify erklärte außerdem, man glaube, die Angreifer hätten den Quellcode von Coruna erhalten und verändert. 5
11
Die mutmaßliche Verbindung zu China bleibt eine Zuschreibung mit Grenzen: In den Berichten ist von Gruppen mit vermuteten Verbindungen zu China die Rede. Dass die chinesische Regierung die Kampagnen gesteuert oder unterstützt hat, belegen die verfügbaren Quellen nicht. 2
3
Ein breiteres Warnsignal – aber kein Beleg für dieselben Täter
Die Ergebnisse verstärken die Sorge, dass auch Online-Anzeigen als Einfallstor für Schadsoftware dienen können. Eine separate Untersuchung von Citizen Lab zu AdFection beschrieb gezielte Werbung als Verbreitungsweg für Zero-Click-Spähsoftware. Das ist ein verwandter Kontext, aber kein Beleg dafür, dass dieselben Akteure oder Werkzeuge hinter den hier beschriebenen iPhone-Kampagnen standen. 18
Die praktische Warnung: Ein schädlicher Link ist nicht der einzige mögliche Angriffsweg. Schon eine Anzeige im Feed oder ein manipulierter Tag, den eine Website lädt, kann ein Gerät gefährden. Das iPhone auf dem aktuellen Stand zu halten, ist eine sinnvolle Grundmaßnahme. Die Berichte benennen jedoch keine einzelne iOS-Version, die vor sämtlichen beschriebenen Angriffen schützt. 7
15
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „iPhone-Spähsoftware ohne Klick: Wenn Anzeigen und alte Website-Tags zur Falle werden“?
Eine Instagram Anzeige für Profifußball soll das iPhone eines Mitarbeiters eines Finanzinstituts angegriffen haben, als dieser daran vorbeiscrollte.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Eine Instagram Anzeige für Profifußball soll das iPhone eines Mitarbeiters eines Finanzinstituts angegriffen haben, als dieser daran vorbeiscrollte. Bei einer zweiten Kampagne nutzten Angreifer abgelaufene Domains, die weiterhin in den Tags seriöser Websites eingebunden waren.
Was soll ich als nächstes in der Praxis tun?
Die Berichte nennen unterschiedliche Zahlen zu betroffenen Websites und Besuchen.