Basta scorrere il feed di Instagram per ritrovarsi con uno spyware sul telefono. È quanto documentato dai ricercatori di iVerify in un caso in cui un annuncio a tema Mondiali di calcio ha consegnato la variante P7 di DarkSword a un iPhone aziendale, senza che l'utente toccasse l'inserzione, scaricasse un file o installasse un'app.
Il dato che conta è il canale. Il phishing si basa sul convincere qualcuno ad aprire un link sospetto; qui l'infezione avviene durante la normale navigazione. Il dipendente, un collaboratore di un'organizzazione cliente, si limitava a scorrere il feed quando l'inserzione si è caricata. Più tardi lo stesso dispositivo è stato colpito da un'altra variante di DarkSword, questa volta dopo un clic su un link distribuito da un gruppo diverso. Avvisi quasi in tempo reale hanno permesso alla squadra di sicurezza di cambiare le credenziali prima che i dati rubati potessero essere venduti e usati contro i sistemi aziendali.
Le ricerche di iVerify e Report URI, pubblicate il 21 ottobre, descrivono questi episodi come attacchi «half-click»: serve visitare una pagina o una piattaforma, ma nessuna interazione ulteriore. Il rapporto non dimostra però che un telefono inattivo possa essere colpito, né che gli iPhone completamente aggiornati siano vulnerabili. Gli exploit mirano infatti a versioni meno recenti di iOS.
Non è chiaro come l'inserzione abbia superato i controlli di Meta. Le ipotesi includono contenuti malevoli occultati, l'abuso di rivenditori pubblicitari o un fornitore compromesso, ma nessuna è confermata. Ciò che è documentato è un percorso di distribuzione pubblicitario, non una vulnerabilità di Instagram.
Lo stesso rapporto descrive anche DeadTag, un'operazione che acquista domini scaduti usati in passato per servizi di analisi e pubblicità. Migliaia di siti continuano a caricare script da quei domini tramite tag dimenticati: chi controlla il dominio può reindirizzare i visitatori senza violare direttamente ogni sito. I ricercatori hanno individuato centinaia di domini riregistrati e stimano 135 milioni di visite mensili su siti in grado di servire lo spyware, un dato che misura l'esposizione potenziale e non infezioni accertate. Gran parte del traffico finisce su truffe, mentre una selezione di visitatori iPhone riceve Coruna o DarkSword. Gli stessi autori hanno piazzato loader DarkSword su centinaia di negozi PrestaShop.
Lo scopo principale sembra il furto di denaro: le varianti individuate prendono di mira password del portachiavi, dati del dispositivo e wallet di criptovalute come Binance, Coinbase Wallet, OKX ed Exodus. Commenti nel codice in cinese suggeriscono operatori di lingua cinese, ma non stabiliscono nazionalità né coinvolgimento statale. Gli operatori di DeadTag restano non identificati.
Il pericolo per le aziende è indiretto ma concreto: uno smartphone personale compromesso può diventare una fonte di credenziali di lavoro, anche senza che il dipendente apra un allegato o approvi un'installazione.
Le indicazioni sono quelle standard: installare subito gli aggiornamenti iOS disponibili; chi è esposto a rischi più elevati può valutare la Modalità Blocco, accettandone le restrizioni. I gestori di siti dovrebbero rimuovere i tag di terze parti inutilizzati e applicare una Content Security Policy. Dopo un sospetto di compromissione, i ricercatori consigliano di conservare i log prima del riavvio, cambiare le credenziali esposte e sostituire i wallet con nuove frasi di recupero.
Ancora nessun commento. Puoi essere il primo!