iPhone атакуют через поддельные уведомления итальянских госслужб
Пользователей iPhone атакуют через фальшивый портал итальянской государственной системы SEND. Злоумышленники копируют интерфейс сервиса цифровых уведомлений и одновременно запускают цепочку эксплойтов против Safari и WebKit.
По данным D3Lab, это первая зафиксированная ими в Италии кампания, где обычный фишинг совмещен со встроенным фреймворком для эксплуатации уязвимостей iOS.
SEND действительно используется государственными учреждениями Италии для юридически значимых уведомлений гражданам и компаниям. К атаке сервис и его оператор pagoPA отношения не имеют. Их брендинг используется без разрешения.
Фальшивый портал крадет данные и атакует iOS
Сценарий начинается с поддельной проверки anti bot. После нее жертва попадает на копию портала SEND. Страница собирает персональные данные, адреса, телефоны, электронную почту, банковские карты и коды подтверждения.
Фронтенд использует Socket.IO и зашифрованные сообщения приложения, благодаря чему атакующие могут взаимодействовать с активными сессиями в реальном времени.
Но главная часть атаки работает в фоне. Встроенный iframe обращается к отдельному серверу, определяет модель устройства и версию iOS, после чего выбирает подходящий эксплойт.
D3Lab обнаружила трехэтапную цепочку, связанную с публично распространяемым набором Coruna Pro V2.
- Этап 1 атакует WebKit и содержит модули для версий iOS от 13 до 17.2.1.
- Этап 2 пытается обойти защиту Pointer Authentication Code.
- Этап 3 направлен на выход из песочницы Safari и запуск дополнительной функциональности.
Загрузчик прекращает работу на версиях новее iOS 17.2.1, а также проверяет наличие симулятора и включенного Lockdown Mode.
Что происходит после взлома
При успешной эксплуатации вредоносная программа пытается получить данные браузера и устройства, а также доступ к чувствительным базам iOS. В списке потенциальных целей находятся SMS, контакты, история звонков, история Safari, фотографии, медицинская информация и данные Keychain.
Отдельные компоненты нацелены на WhatsApp, другие мессенджеры и приложения-кошельки. Вредоносный код также содержит функцию удаленного выполнения JavaScript.
Исследователи обнаружили 7 эксплойт-модулей, которые побайтно совпадают с файлами из публичного репозитория Coruna Pro V2. В других компонентах нашли дополнительную телеметрию, выполнение команд, обработку сбоев и функции кражи данных.
При этом атака пока выглядит далеко не идеальной. В коде обнаружены повторные попытки запуска, счетчики сбоев и резервные сценарии. Это указывает на проблемы с надежностью цепочки на части устройств и версий iOS.
Инфраструктура также содержит ссылки на Telegram-аккаунт @ojishu и китайскоязычный брендинг. D3Lab отдельно подчеркивает, что этих признаков недостаточно для определения личности или национальности операторов.
Защититься от конкретной кампании проще всего через обновление iOS до актуальной версии. Пользователям с повышенным риском стоит рассмотреть Lockdown Mode.
А уведомления SEND безопаснее открывать напрямую через официальный портал cittadini.notifichedigitali.it, а не через ссылки из неожиданных сообщений.
