Айфоны взламывают прямо через Safari и крадут деньги. Как себя защитить

Если вы держите криптовалюту в кошельке на iPhone и при этом давно не заглядывали в обновления, этот текст лучше дочитать до конца. Весной мы писали, что вирус DarkSword попал в открытый доступ, и тогда это выглядело как головная боль для специалистов по безопасности. Прошло полгода, и инструмент превратился в целый бизнес со своими партнерами и прайсом. Ловят на него там, где подвоха никто не ждет, а кошелек пустеет за пару минут. Ниже разберем, как устроена атака, что именно утекает с телефона и какая защита срабатывает лучше всего, хотя многие откладывают ее месяцами.

iPhone с открытым в Safari криптокошельком MetaMask, на балансе 0 долларов, рядом уведомление «Взлом! Все средства выведены»

Хватает одной вкладки в Safari

Схема устроена проще, чем хотелось бы. Вредоносный код прячут на обычных сайтах и в рекламных баннерах, которые на них крутятся. Владелец iPhone открывает страницу в Safari, и все. Ничего скачивать не нужно, подтверждать тоже. Дальше в работу вступают два набора эксплойтов: DarkSword и Coruna. Первый бьет по iOS с 18.4 по 18.7, второй рассчитан на совсем старые системы, с iOS 13 по iOS 17.2.1. Оба используют дыры в браузерном движке и ядре системы, поэтому весь взлом проходит без участия пользователя.

Самое неприятное тут даже не техника, а то, как все поставлено на поток. У атакующих есть панели управления, партнерские аккаунты, комиссии и лимиты на число зараженных устройств. Сам набор инструментов для взлома iOS продают за 12 888 долларов и ищут партнеров среди владельцев сайтов и рекламных сетей. По разным подсчетам, ущерб уже исчисляется миллионами долларов: называют суммы от 2 до 5,5 млн.

Страница блога в Safari на iPhone, поверх текста всплыл рекламный баннер с кнопкой «Подробнее»

Хорошо видно, как это работает, на одной истории. Девушка на отдыхе на Мальдивах решила найти интимное видео, случайно нажала на рекламу, и фоном открылась какая-то вкладка. Через несколько минут с трех ее кошельков в Trust Wallet пропало больше 16 тысяч долларов. Никаких подозрительных приложений она не ставила и ссылок из незнакомых чатов не открывала.

Причем такие баннеры находили не только на сомнительных ресурсах, но и в рекламе крупных соцсетей. Так что совет «просто не ходите куда не надо» тут работает плохо. Реклама показывается там, где за нее заплатили.

Вору нужны не только кошельки

Цель у атакующих одна — деньги, но забирают они все подряд: пароли, переписки, фотографии, файлы криптокошельков вместе с секретными ключами. В списке целей Trust Wallet, MetaMask, Phantom, TronLink и другие популярные кошельки. Отдельно вредонос ищет seed-фразы, причем не только в самих приложениях. Он умеет вытаскивать приватные ключи из фотографий и заметок. Мы уже объясняли, какие скриншоты нельзя хранить на айфоне, и этот случай показывает, почему список стоит перечитать.

Схема кражи: данные с iPhone уходят злоумышленнику, под ударом кошельки Trust Wallet, MetaMask, Phantom и TronLink, а также seed-фразы в Фото и Заметках. Внизу безопасные варианты: фраза на бумаге и аппаратный кошелек

Откройте галерею и полистайте ее назад, к дате создания кошелька. Снимок seed-фразы, сделанный «на всякий случай» при создании кошелька, лежит там у очень многих. Для обычного вора, укравшего телефон, это почти бесполезно: айфон заблокирован. А вот код, который уже работает внутри системы, такой снимок найдет и отправит куда надо. Seed-фраза на бумаге в ящике стола в этой ситуации надежнее любой заметки с паролем.

Если вы храните на телефоне суммы, потеря которых будет по-настоящему больной, есть смысл вынести их на аппаратный кошелек. Его ключи вообще не попадают на смартфон, поэтому взлом iPhone до них не доберется. А на айфоне оставить только то, что нужно для повседневных переводов.

Обновиться — и дыры больше нет

Теперь главное. Все уязвимости, на которых держатся DarkSword и Coruna, Apple уже закрыла. На актуальной iOS эта схема не работает: компания прямо говорит, что устройства с обновленной системой этим атакам не подвержены. Если у вас iOS 27.2 или iOS 26.7.2, можно выдохнуть. Если сомневаетесь, какую из двух веток выбрать, у нас есть разбор: iOS 27.2 или 26.7.2 ставить на айфон.

Что важно, Apple выпустила заплатки для iOS 18, хотя обычно так не делает. Раньше исправления для старой ветки получали только айфоны, которые не тянут новую систему. Но после истории с DarkSword компания сделала исключение и открыла iOS 18.7.7 для всех моделей, от iPhone XR и XS до iPhone 16 и 16e, включая iPhone SE второго и третьего поколения. Еще раньше, в марте, вышли iOS 15.8.7 и iOS 16.7.15 с защитой от Coruna для совсем старых смартфонов. То есть сидеть на старой системе из-за нового дизайна или страха перед батареей можно, но версию внутри ветки обновить нужно обязательно.

Порядок действий такой:

1. Подключите iPhone к Wi-Fi и поставьте на зарядку или убедитесь, что заряда больше 50%.
2. Откройте Настройки — Основные — Обновление ПО.
3. Установите последнюю доступную версию. Если хотите остаться на старой ветке, выберите обновление внутри нее, например iOS 18.7.7 или новее.
4. Там же зайдите в раздел «Автообновление» и включите автоматическую установку обновлений iOS.

Три экрана настроек iPhone: раздел «Основные» с пунктом «Обновление ПО», страница загрузки iOS 27.2 и проверка версии iOS в разделе «Об этом устройстве»

Последний пункт я бы не пропускал. С автообновлением такие заплатки приезжают сами, ночью, пока телефон заряжается, и вам не нужно следить за каждой новостью про очередной эксплойт. Если обновление зависло или iPhone пишет, что не может его проверить, пишите в наш чат в Telegram или МАКС, там подскажут, что делать.

Пока обновление недоступно

Бывает, что обновиться прямо сейчас нельзя: в памяти нет места, под рукой нет Wi-Fi или айфон настолько старый, что свежих версий для него уже не выходит. Для таких случаев у Apple есть режим блокировки. По словам компании, устройства с ним защищены от этих атак даже на устаревшей системе. Включается он так:

1. Откройте Настройки — Конфиденциальность и безопасность.
2. Пролистайте вниз до пункта «Режим блокировки».
3. Нажмите «Включить режим блокировки» и перезагрузите iPhone.

Три экрана настроек iPhone: пункт «Конфиденциальность и безопасность», раздел «Режим блокировки» и кнопка «Включить режим блокировки»

У режима есть цена. Некоторые сайты в Safari начнут открываться медленнее или криво, вложения в сообщениях будут блокироваться, а приглашения от незнакомых людей в сервисах Apple перестанут приходить. Жить с этим постоянно неудобно, поэтому я бы рассматривал его как временную меру, пока не дойдут руки до обновления. А если айфону нечем зарядиться на долгой установке, запасной кабель и быструю зарядку можно присмотреть в канале «Сундук Али-Бабы» в МАКС.

Еще пара простых привычек снижает риск. Не нажимайте на рекламу на сайтах, которым не доверяете, и закрывайте вкладки, которые открылись сами. Криптокошелек лучше держать отдельно от браузерных похождений, а крупные суммы — вообще не на телефоне. Новые эксплойты для iOS находят каждые несколько месяцев, и о свежих заплатках мы сразу пишем в наших каналах в Telegram и МАКС. Но самая надежная защита от этой волны атак все равно скучная: открыть настройки и нажать «Обновить».