Hakeri preko zlonamjernih Instagram oglasa zaražavaju iPhoneove spywareom bez ijednog klika

Zlonamjerni oglasi na Instagramu mogu zaraziti ranjive iPhoneove dok osoba samo lista feed. Istraživači iz iVerifya dokumentirali su slučaj u kojem je oglas s temom Svjetskog prvenstva isporučio DarkSword P7, varijantu exploit kita DarkSword. Žrtva nije morala dodirnuti oglas, preuzeti datoteku ni instalirati aplikaciju.

Zarazu su otkrili istražujući mobitel zaposlenika u jednoj od tvrtki klijenata, a istraživanje su s Report URI-jem objavili 21. listopada 2026. Opisuju kriminalne skupine koje oglase i napuštene integracije na web stranicama koriste za distribuciju dvaju iOS exploit kitova, DarkSworda i Corune. Oba kradu privatne podatke. Taj je zaposlenik kasnije napadnut i drugom varijantom DarkSworda, nakon što je kliknuo na zlonamjerni link druge skupine. Sigurnosni tim tvrtke dobio je gotovo trenutna upozorenja i na vrijeme promijenio pristupne podatke, prije nego što su ih napadači mogli prodati ili iskoristiti.

Istraživači takve napade zovu "half-click": žrtva mora posjetiti web stranicu ili društvenu mrežu, ali dalje interakcije nema. Napad na mobitel koji miruje nije opisan, a nije dokazano ni da su potpuno ažurirani iPhoneovi ranjivi. Oba kita ciljaju starije verzije iOS-a.

Kako je oglas prošao Metine provjere, nije utvrđeno. Istraživači navode nekoliko mogućnosti, među njima skriveni zlonamjerni sadržaj, zlouporabu preprodavača oglasa ili kompromitiranog dobavljača, ali nijedna nije potvrđena. Slučaj pokazuje put isporuke preko oglasa, a ne propust u samom Instagramu.

DeadTag i zaražene trgovine

Report URI otkrio je i operaciju DeadTag. Napadači kupuju istekle domene koje su se nekad koristile za analitiku i oglasne servise. Tisuće web stranica i dalje učitava skripte s njih preko zaboravljenih tagova, pa napadači nakon preuzimanja domene mogu preusmjeravati posjetitelje bez hakiranja svake stranice posebno. Istraživači su pronašli stotine ponovno registriranih domena i procjenjuju da stranice koje mogu poslužiti spyware imaju 135 milijuna mjesečnih posjeta, ako posjetitelj zadovolji uvjete ciljanja. Taj broj označava potencijalnu izloženost, a ne potvrđene zaraze. Velik dio preusmjerenog prometa vodi na prijevare, dok odabrani vlasnici iPhonea dobivaju Corunu ili DarkSword.

Skupina je DarkSword loadere postavila i na stotine PrestaShop trgovina, skrivene u mapama nalik analitičkim komponentama. Neki putovi vodili su na lažnu Polymarket stranicu.

Što napadači kradu

Identificirane varijante ciljale su lozinke iz keychaina, podatke o uređaju i novčanike poput Binancea, Coinbase Walleta, OKX-a, Bitgeta, Trust Walleta, Exodusa, TronLinka i Bitpiea. Oba kita mogu prikupljati i poruke, kontakte, lokaciju i lozinke, pa zaposlenikov privatni mobitel može postati izvor korporativnih pristupnih podataka. Glavni motiv je financijska korist. Komentari u kodu na kineskom upućuju na operatere koji govore kineski, ali ne dokazuju nacionalnost ni umiješanost države. Operateri DeadTaga nisu identificirani.

Preporuka je što prije instalirati dostupne iOS sigurnosne update-e, a tko je pod povećanim rizikom, može razmisliti o Lockdown Modeu, uz njegova ograničenja. Vlasnicima web stranica savjetuje se ukloniti nekorištene third-party tagove, nadzirati vanjske skripte i uvesti Content Security Policy. Kod sumnje na kompromitaciju istraživači preporučuju sačuvati logove prije restarta, promijeniti izložene podatke za prijavu i zamijeniti zaražene kriptonovčanike novima s novim recovery phraseovima.