一则 Instagram 职业足球广告，以及合法网站上早已被遗忘的代码，是研究人员报告的两条 iPhone 间谍软件投放途径。iVerify 和 Report URI 表示，这些攻击可能在用户没有点击可疑链接的情况下触发。相关犯罪团伙被描述为疑似与中国有关联，但现有报道没有证实由谁指挥这些行动。23

iPhone 可能通过两种途径中招

在其中一起案例中，iVerify 发现，一家金融机构的员工在 Instagram 上刷过一则职业足球广告后，iPhone 遭到感染。攻击窃取了登录凭据，并搜索手机中的加密货币钱包。一篇报道提到，恶意软件会先检查 iPhone 的操作系统版本再继续行动；但现有报道没有提供足够细节，无法独立核实完整的漏洞选择过程。12

另一条途径始于已过期、但仍被合法网站引用的域名。网站使用的第三方分析或广告域名到期后，如果被他人重新注册，仍在调用该域名的旧标签就可能变成攻击者控制的入口。Report URI 称，攻击者获取了这些网站标签背后的过期域名，并借此将访客引向漏洞利用程序。用户不必主动访问攻击者搭建的网站；合法网页加载遭劫持的第三方资源，也可能成为风险来源。311

网站数量的几组数字，统计口径并不相同

相关报道给出了不同的估算值，不能把它们当作同一项感染统计：

• 一份报道提到，攻击者取得了约 630 个过期域名，而近 8,000 个合法网站仍在使用这些域名。341
• 另有报道指出，至少 6,600 个网站遭到影响，每月访问量约为 4,900 万。46
• 还有一项估算称，248 个网站直接投放间谍软件，每月访问量约为 800 万。31

这些数字统计的是域名、网站或网站流量，并非已确认感染的 iPhone 数量。现有报道没有说明近 8,000 个与 6,600 个网站的统计差异如何产生，因此更稳妥的做法是将它们视为不同报道给出的估算，而不是合并成一个确定数字。

Coruna、DarkSword 与归因边界

Report URI 和 iVerify 在调查投放链路时发现了 iOS 漏洞利用工具 Coruna 和 DarkSword。iVerify 表示，曾偶尔看到两者被捆绑使用，并将这种组合称为“DarkCoruna”；该公司还称，它认为攻击者取得并修改了 Coruna 的源代码。511

有关中国关联的说法仍有边界：报道将相关犯罪团伙描述为疑似与中国有关联，并未证实这些行动由中国政府指挥。23 现有来源也没有证明存在国家层面的支持。

间谍软件投放方式正在扩展

这项发现也呼应了外界对恶意广告成为感染渠道的担忧。Citizen Lab 的另一项 AdFection 研究介绍了通过定向广告投放“零点击”商业间谍软件的做法；这是相关背景，并不能证明这些 iPhone 行动由相同的人员或工具实施。18

实际提醒是：可疑链接并非设备遭入侵的唯一途径。信息流中的广告，或遭劫持的网站标签，都可能让设备暴露于风险之中。及时更新 iPhone 系统是合理的基础防护措施，但这些报道并未指出某一个 iOS 版本能够抵御文中提到的所有攻击。715

一则 Instagram 职业足球广告，以及合法网站上早已被遗忘的代码，是研究人员报告的两条 iPhone 间谍软件投放途径。iVerify 和 Report URI 表示，这些攻击可能在用户没有点击可疑链接的情况下触发。相关犯罪团伙被描述为疑似与中国有关联，但现有报道没有证实由谁指挥这些行动。23

iPhone 可能通过两种途径中招

在其中一起案例中，iVerify 发现，一家金融机构的员工在 Instagram 上刷过一则职业足球广告后，iPhone 遭到感染。攻击窃取了登录凭据，并搜索手机中的加密货币钱包。一篇报道提到，恶意软件会先检查 iPhone 的操作系统版本再继续行动；但现有报道没有提供足够细节，无法独立核实完整的漏洞选择过程。12

另一条途径始于已过期、但仍被合法网站引用的域名。网站使用的第三方分析或广告域名到期后，如果被他人重新注册，仍在调用该域名的旧标签就可能变成攻击者控制的入口。Report URI 称，攻击者获取了这些网站标签背后的过期域名，并借此将访客引向漏洞利用程序。用户不必主动访问攻击者搭建的网站；合法网页加载遭劫持的第三方资源，也可能成为风险来源。311

网站数量的几组数字，统计口径并不相同

相关报道给出了不同的估算值，不能把它们当作同一项感染统计：

• 一份报道提到，攻击者取得了约 630 个过期域名，而近 8,000 个合法网站仍在使用这些域名。341
• 另有报道指出，至少 6,600 个网站遭到影响，每月访问量约为 4,900 万。46
• 还有一项估算称，248 个网站直接投放间谍软件，每月访问量约为 800 万。31

这些数字统计的是域名、网站或网站流量，并非已确认感染的 iPhone 数量。现有报道没有说明近 8,000 个与 6,600 个网站的统计差异如何产生，因此更稳妥的做法是将它们视为不同报道给出的估算，而不是合并成一个确定数字。

Coruna、DarkSword 与归因边界

Report URI 和 iVerify 在调查投放链路时发现了 iOS 漏洞利用工具 Coruna 和 DarkSword。iVerify 表示，曾偶尔看到两者被捆绑使用，并将这种组合称为“DarkCoruna”；该公司还称，它认为攻击者取得并修改了 Coruna 的源代码。511

有关中国关联的说法仍有边界：报道将相关犯罪团伙描述为疑似与中国有关联，并未证实这些行动由中国政府指挥。23 现有来源也没有证明存在国家层面的支持。

间谍软件投放方式正在扩展

这项发现也呼应了外界对恶意广告成为感染渠道的担忧。Citizen Lab 的另一项 AdFection 研究介绍了通过定向广告投放“零点击”商业间谍软件的做法；这是相关背景，并不能证明这些 iPhone 行动由相同的人员或工具实施。18

实际提醒是：可疑链接并非设备遭入侵的唯一途径。信息流中的广告，或遭劫持的网站标签，都可能让设备暴露于风险之中。及时更新 iPhone 系统是合理的基础防护措施，但这些报道并未指出某一个 iOS 版本能够抵御文中提到的所有攻击。715