Badacze bezpieczeństwa wykryli fałszywą stronę przedsprzedaży Apple iPhone Duo, która podszywa się pod Apple i kusi voucherem o wartości 500 USD. Celem kampanii są podatne iPhone’y oraz przechowywane na nich portfele kryptowalutowe, a ataki ruszyły jeszcze przed oficjalnym startem przedsprzedaży zaplanowanym na 16 października.
Najważniejsze ustalenia:
- Atak może rozpocząć się już w momencie otwarcia strony na podatnym iPhonie
- Ładunek celuje w aplikacje portfeli krypto, pęk kluczy, notatki i inne dane osobiste
- Apple zapewnia, że zaktualizowane urządzenia są zabezpieczone przed atakami DarkSword
Oszustwo z iPhone Duo
Analitycy z Malwarebytes odkryli stronę stylizowaną na oficjalny serwis Apple podczas monitorowania oszustw towarzyszących premierze iPhone Duo. Ustalenia opublikowano 29 września, a dzień później opisał je serwis 9to5Mac.
Strona obiecuje „Ekskluzywny voucher Autoryzowanego Partnera” o wartości 500 USD oraz ochronę AppleCare+. Tymczasem oficjalne przedsprzedaże iPhone Duo startują dopiero 16 października.
Według Malwarebytes fałszywy serwis wymienia rozmiary i kolory urządzenia, które nie pokrywają się z ofertą Apple, a część linków do regulaminów i polityk w ogóle nie działa. Co istotne, próba wykorzystania luki rozpoczyna się jeszcze zanim odwiedzający wypełni jakikolwiek formularz. Badacze wskazują, że strona korzysta z wycieku łańcucha exploitów DarkSword do skanowania podatnych iPhone’ów, po czym próbuje doładować dodatkowy ładunek służący do pozyskiwania informacji o urządzeniu, notatek Apple Notes oraz zapisanych danych w pęku kluczy.
Zobacz też: Zakłady na uderzenie w Kijów na Polymarket z obrotem 124 tys. USD. Dwa transakcje robią różnicę
Ryzyko dla portfeli według Malwarebytes
Złośliwy ładunek aktywnie wyszukuje aplikacje portfeli kryptowalutowych, w tym MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus i Tonkeeper. Jeśli uda mu się nawiązać połączenie z serwerem atakującego, może próbować przesłać pliki portfeli, dane logowania oraz miniatury zdjęć.
Badacze odkryli również fragmenty kodu wymierzone w wiadomości, kontakty, historię połączeń, pocztę głosową, e‑maile, wpisy w kalendarzu oraz buforowane dane lokalizacyjne. Ładunek potrafi też komunikować się z serwerem w celu pobrania dodatkowych instrukcji.
Malwarebytes podkreśla, że kod został szczegółowo przeanalizowany, ale nie był testowany bezpośrednio na fizycznym iPhonie, a zespół nie obserwował faktycznego wypływu danych z urządzenia. Oznacza to, że potwierdzono logikę ataku, lecz nie udokumentowano kompletnego scenariusza kradzieży danych u realnej ofiary.
Google ujawniło łańcuch exploitów DarkSword w marcu 2026 r., a Apple w tym samym miesiącu załatało zgłoszone luki. Firma iVerify szacowała wówczas, że nawet 270 mln urządzeń mogło działać na wersjach iOS podatnych na ataki DarkSword. Malwarebytes zastrzega jednak, że ta liczba jest nieaktualna, a dokładny zakres wersji systemu narażonych w przypadku tej konkretnej strony pozostaje niepotwierdzony.
Czytaj dalej: Zbuntowane agentowe AI zmuszają OpenAI do przeszukania 50 petabajtów własnych danych
