iPhone现零点击间谍软件：刷广告即中招

网络安全研究机构 iVerify 与 Report URI 披露，黑客团伙正利用在线广告和正规网站向 iPhone 植入间谍软件。受害者无需进行任何点击操作，仅浏览页面即可中招。这些被指疑似与中国存在关联的攻击活动，主要通过滥用广告分发架构与被遗弃的网站代码，窃取用户登录凭证与加密货币。

这一发现表明，曾专门针对政界人士与记者的国家级黑客工具，正逐渐向普通大众蔓延。

Instagram 广告与过期域名成跳板

在 iVerify 记录的一起案例中，某金融机构员工在 Instagram 上滑动浏览一条职业足球队的广告时，其 iPhone 随即被植入间谍软件。恶意代码在广告显示到屏幕的瞬间便开始执行，先检测手机系统版本，再匹配相应的漏洞利用程序，最终窃取凭证并搜寻加密货币钱包。

第二起攻击活动则依托过期域名展开。许多曾用于提供聊天机器人或数据分析工具的第三方服务域名失效后，仍有数千家网站在引用这些地址。攻击者抢注这些域名后，借机向访客悄悄注入恶意程序。

Axios 报道称，攻击者通过购买约 630 个过期域名，波及近 8000 家网站。福布斯（Forbes）报道指出，攻击者利用至少 6600 个月访问量总和达 4900 万次的正规网站分发恶意代码。其中 248 个网站直接投放 iPhone 间谍软件，月覆盖用户达 800 万，其余网站则用于垃圾引流。

Report URI 创始人 Scott Helme 将该运营团伙命名为 DeadTag。他在分析文章中指出，该网络正在分发 Coruna 与 DarkSword 两款工具，称其为「迄今所见最强大的 iOS 漏洞利用套件之一」。DeadTag 还向其他犯罪团伙出售被黑网站的访问权限，每周抢注多达 10 个新域名。其客户之一使用的漏洞套件疑似源自国家级情报机构泄露的工具。

瞄准未更新系统，威胁持续扩散

针对早期攻击所利用的漏洞，Apple 已在后续系统更新中完成了修复，因此攻击者主要瞄准未及时打补丁的设备。Helme 警告，攻击者的代码架构显示，他们随时可接入针对未修复 iOS 漏洞的最新攻击工具。截至发稿，Apple 与 Meta 均未对此置评。

攻击者的真实来源尚未完全查明。其控制代码中包含中文注释，且部分域名使用了位于中国的网络安全服务防护。Helme 表示，攻击者要么来自中文语境，要么故意留下相关痕迹。

上周，多伦多大学公民实验室（Citizen Lab）刚披露了首例公开确认利用定向广告分发零点击间谍软件的案例，半岛电视台至少 45 台设备受波及。iVerify 联合创始人 Rocky Cole 指出，间谍软件已成为目前移动设备上扩散最快的威胁，普通用户没有访问危险网站也没有违规操作，仅正常浏览网页便可能被攻破。安全专家建议 iPhone 用户务必保持系统最新。