Фальшиві передзамовлення iPhone Duo можуть викрасти дані криптогаманців

Шахрайська сторінка передзамовлення iPhone Duo намагається викрасти дані з деяких старих iPhone без натискання кнопок, завантаження файлів чи підтвердження дозволів. Справжній прийом передзамовлень має розпочатися у п’ятницю, 16 жовтня.

Сайт відтворює дизайн Apple та обіцяє ваучер на $500 нібито від «авторизованого партнера». За даними дослідників Malwarebytes, сторінка використовує ланцюжок експлойтів DarkSword.

Які дані намагається викрасти шкідник

Після успішної атаки код збирає ідентифікатори та статус пристрою, перелік установлених застосунків і вміст Apple Notes. Далі він намагається отримати збережені облікові дані з keychain та знайти криптогаманці.

У списку цілей — MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus і Tonkeeper. Якщо гаманець знайдено, а перший обмін із сервером проходить успішно, шкідник намагається передати файли гаманця, дані keychain і мініатюри фотографій, що може поставити кошти під загрозу.

Також код намагається отримати доступ до повідомлень, контактів, історії дзвінків, голосової пошти, електронної пошти, календаря та кешованих даних про місцезнаходження. Сервер може надсилати шкіднику подальші інструкції.

DarkSword уже виправили оновленнями

Google розкрив інформацію про ланцюжок експлойтів у березні, а Apple випустила виправлення пізніше того самого місяця. Malwarebytes пов’язує ризик із пристроями, на яких ці оновлення не встановлено.

Дослідники радять не відкривати посилання від неперевірених відправників і встановлювати оновлення iOS одразу після їхньої появи.