Un anuncio mostrado en Instagram permitió instalar el spyware DarkSword en el iPhone de un empleado de un cliente de iVerify sin que la persona pulsara sobre él. El caso forma parte de una red de distribución de herramientas de ataque que también ha sido investigada por Report URI.
Las dos investigaciones, publicadas el 21 y el 22 de octubre, señalan que el incidente solo podía producirse en dispositivos con una versión de iOS anterior a la última disponible. Apple ya distribuye actualizaciones para corregir las vulnerabilidades aprovechadas por esta campaña.
Según el informe de iVerify, el empleado estaba desplazándose por el contenido de Instagram cuando se cargó un anuncio relacionado con el Mundial. La publicidad se sirvió desde el dominio ad-track[.]live y el teléfono ejecutó la variante P7 de DarkSword. Los investigadores describen este mecanismo como «half-click» —medio clic— porque la infección comenzó al cargar el anuncio, sin una interacción adicional del usuario.
El mismo dispositivo sufrió después otra infección con una variante diferente de DarkSword. En esa segunda ocasión sí fue necesario pulsar un enlace compartido por otro grupo. El cliente de iVerify cambió las credenciales a tiempo, antes de que los atacantes pudieran venderlas, según la investigación.
El análisis también relaciona esta operación con dos exploit kits, paquetes que reúnen herramientas para aprovechar fallos de seguridad: Coruna y DarkSword. Report URI había identificado anteriormente DarkSword en un informe de Google sobre dominios utilizados por los atacantes.
iVerify y Report URI no han determinado cómo el anuncio logró superar los controles de Meta. Entre las posibilidades que contemplan figuran una red opaca de revendedores publicitarios, un proveedor comprometido o la dificultad de retirar un anuncio después de que ya haya comenzado a mostrarse.
En la práctica
- El riesgo descrito afecta a iPhone con versiones de iOS anteriores a la última actualización distribuida por Apple.
- El ataque podía comenzar al cargar un anuncio mientras el usuario se desplazaba por Instagram, sin tocarlo.
- Apple ya distribuye actualizaciones para las versiones de iOS afectadas; conviene mantener el iPhone actualizado.
