答え公開済み22 ソース
悪質広告と放置タグが、iPhoneへのスパイウェア配信経路に
金融機関の従業員がInstagramのサッカー関連広告を見た後、iPhoneにスパイウェアが侵入した事例が報告されました。 攻撃者は、正規サイトに残された古い解析・広告タグが読み込む失効ドメインを再登録し、マルウェアの配信に悪用したとされます。
公開者GPT-6 Luna で編集GPT Image 2 で画像を生成
研究の答え
重要なポイント
- 金融機関の従業員がInstagramのサッカー関連広告を見た後、iPhoneにスパイウェアが侵入した事例が報告されました。
- 攻撃者は、正規サイトに残された古い解析・広告タグが読み込む失効ドメインを再登録し、マルウェアの配信に悪用したとされます。
- 報告にあるサイト数は調査ごとに異なり、感染したiPhoneの台数を示すものではありません。
AI プロンプト
openai.comCreate a landscape editorial hero image for this Studio Global article: What did iVerify and Report URI uncover about two suspected China-linked criminal campaigns spreading zero-click iPhone spyware through onli. Article summary: iVerify and Report URI reported two campaigns in which suspected China-linked criminal groups used online advertising and legitimate websites to deliver iPhone spyware without victims clicking a malicious link. The findi. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
Instagramのプロサッカー関連広告と、正規サイトに残された古いコード。iVerifyとReport URIは、この2つがiPhone向けスパイウェアの配信経路として悪用されたと報告しました。いずれも、被害者が不審なリンクをクリックすることを前提としない手口です。攻撃グループには中国とのつながりが疑われていますが、誰が指揮していたのかは確認されていません。2
3
報告された2つの侵入経路
1つ目はオンライン広告です。iVerifyによると、ある金融機関の従業員は、Instagramでプロサッカー関連の広告を見た後に感染しました。攻撃はログイン情報を盗み、端末内の暗号資産ウォレットを探したと報じられています。ある報道では、マルウェアがiPhoneのOSを確認してから次の段階に進んだとされています。ただし、どのように攻撃方法を選んだのか、その全手順を裏付けるだけの詳細は、公開された情報からは確認できません。1
2
もう1つは、失効したドメインを使う手口です。解析サービスや広告サービスのドメインが期限切れになった後、第三者がそれを取得しても、正規サイトに古いタグが残っていれば、そのサイトを訪れた人のブラウザーが攻撃者の管理下にあるドメインを読み込む可能性があります。Report URIは、攻撃者がウェブサイトのタグから参照されていた失効ドメインを取得し、訪問者を攻撃へ誘導した事例を報告しています。利用者が攻撃者の作ったサイトを意図的に開かなくても、正規サイトに埋め込まれた外部コードが読み込まれることで危険にさらされる場合があります。3
11
報告されたサイト数は、何を数えているのか
調査や報道では異なる数字が示されています。対象や数え方が同じとは限らないため、ひとつの確定した総数として扱うことはできません。
- 約630の失効ドメインが取得され、それを参照し続けていた正規サイトは約8,000に上るとする報告があります。
3
- 別の報道では、少なくとも6,600の侵害サイトがあり、月間訪問数は合計約4,900万とされています。
4
6
- さらに別の推計では、248サイトがスパイウェアを直接配信し、月間訪問数は約800万とされています。
31
これらはドメイン、ウェブサイト、または訪問数の推計であり、感染が確認されたiPhoneの台数ではありません。また、約8,000サイトと6,600サイトという数字の違いを説明する情報は、参照できる報道にはありません。異なる報告値として紹介するのが適切です。
CorunaとDarkSword、そして帰属の限界
Report URIとiVerifyは、配信の仕組みに関連して、iOS向けのエクスプロイトキット「Coruna」と「DarkSword」を挙げています。iVerifyは、両者が一緒に使われる例をまれに確認し、その組み合わせを「DarkCoruna」と呼んだと説明しました。また、攻撃者がCorunaのソースコードを入手して改変したと考えていると述べています。5
11
攻撃グループと中国の関係については、あくまで「中国とのつながりが疑われる」という報道上の説明にとどまります。中国政府が攻撃を指揮したと裏付ける情報は、ここで参照できる資料からは確認できません。2
3
広告も、ウェブ閲覧も侵入口になりうる
広告を感染経路に使う手口は、今回の調査だけに限られた懸念ではありません。Citizen Labによる別の「AdFection」研究は、標的型広告をゼロクリック型の商用スパイウェア配信に使う手法を報告しています。ただし、これは関連する背景情報であり、今回のiPhone攻撃と同じ実行者やツールが使われた証拠ではありません。18
今回の報告が示すのは、悪意あるリンクをクリックしなくても、フィードに表示された広告や、侵害されたタグを読み込むウェブサイトが端末を危険にさらす可能性があるということです。iPhoneを最新の状態に保つことは基本的な対策ですが、報告されたすべての攻撃を防げる特定のiOSバージョンが示されているわけではありません。7
15
Studio Global AI
研究を続けてください
このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。
人々も尋ねます
「悪質広告と放置タグが、iPhoneへのスパイウェア配信経路に」の短い答えは何ですか?
金融機関の従業員がInstagramのサッカー関連広告を見た後、iPhoneにスパイウェアが侵入した事例が報告されました。
最初に検証する重要なポイントは何ですか?
金融機関の従業員がInstagramのサッカー関連広告を見た後、iPhoneにスパイウェアが侵入した事例が報告されました。 攻撃者は、正規サイトに残された古い解析・広告タグが読み込む失効ドメインを再登録し、マルウェアの配信に悪用したとされます。
次の実践では何をすればいいでしょうか？
報告にあるサイト数は調査ごとに異なり、感染したiPhoneの台数を示すものではありません。