「Coruna」「DarkSword」、Instagram広告や放置されたWebサイトのタグを悪用してiPhoneを攻撃

Instagram広告や放置されたWebサイトのタグを悪用し、iPhone向けエクスプロイトを配布

サイバー犯罪グループがInstagram広告や、期限切れとなったアクセス解析サービスのドメインを参照するWebサイトのタグ、侵害されたオンラインショップを悪用し、脆弱なiPhoneを標的にエクスプロイトキット「Coruna」と「DarkSword」を配布している。iVerifyとReport URIの調査によると、攻撃者は特定の利用者に悪意のあるリンクを送り付けるだけでなく、広告や既存のWebサイトへのアクセスを利用して攻撃対象に接触していた。

研究者が「ハーフクリック」と呼ぶ手法では、利用者が悪意のある広告や侵害されたページのコンテンツを読み込むだけで、追加の操作を行わなくてもエクスプロイトが実行される可能性がある。iVerifyは、同社の従業員がInstagramのフィードをスクロールしていた際、ワールドカップを題材にした広告を通じて「DarkSword」のP7亜種が配信される事例を確認した。

この広告のコンテンツは「ad-track.live」から配信されていた。また、同じ従業員はその後、悪意のあるリンクを通じて別のDarkSword亜種を配布する別の攻撃グループによる攻撃にもさらされた。セキュリティチームは、ほぼリアルタイムで警告を受け取り、窃取された認証情報が転売されたり、企業ネットワークへの侵入に悪用されたりする前に、該当する認証情報を変更した。

「DeadTag」、期限切れドメインと侵害されたECサイトを攻撃の配布経路に悪用

Report URIが確認した攻撃キャンペーン「DeadTag」では、かつて広告配信やアクセス解析サービスに使用されていたドメインが、登録期限の切れた後に第三者によって取得され、悪用されていた。数千のWebサイトには、これらのドメインを参照するサードパーティー製のスクリプトタグが残されており、攻撃者はその参照先を自らが管理する悪意のあるコンテンツの配布経路として利用した。

DeadTagは、一部の訪問者を詐欺サイトへリダイレクトする一方、特定の条件に一致するiPhoneをエクスプロイトキット「Coruna」と「DarkSword」の攻撃インフラへ誘導していた。研究者は、数千のWebサイトに埋め込まれたスクリプトタグを通じて悪用されていたドメインを数百件確認している。

調査対象となったWebサイトの月間訪問数は、合計で約1億3,500万回に上る。ただし、これは悪意のあるコンテンツに接触する可能性があったトラフィックの規模を示すものであり、実際に感染した端末数や被害者の実人数を表すものではない。

攻撃インフラには、iOS 26およびiOS 27を搭載した端末を誘導するためのプレースホルダーも確認された。しかし、研究者によると、これらのバージョンにエクスプロイトキットを対応させようとする試みの大半は正常に機能しておらず、対象端末への侵害に成功した証拠とは判断できない。

攻撃者は、数百のPrestaShop製ECサイトにも侵入し、アクセス解析用のコンポーネントを装ったディレクトリ内にDarkSwordのローダーを隠していた。別の小売業者のWebサイトでは、CorunaとDarkSwordの両方が同時に読み込まれる状態も確認された。また、予測市場サービス「Polymarket」を装った偽サイトでも、CorunaとDarkSwordのP7亜種が配布されていた。

両方のペイロードによって窃取されたデータが同じサーバーへ送信されていたことから、研究者はこれらの攻撃が共通の運用者によって管理されていた可能性を裏付ける証拠とみている。ただし、この事実だけで、確認されたすべての配布活動が単一の攻撃者によるものと断定することはできない。

確認された亜種は、キーチェーンに保存されたパスワードや各種アカウントの認証情報に加え、Binance、Coinbase Wallet、OKX、Bitget、Trust Wallet、Exodus、TronLink、Bitpieなどの暗号資産関連アプリを標的としていた。

コード内に残された中国語の開発者コメントや、関連する暗号資産インフラは、中国語を使用する金銭目的の攻撃活動との関連を示唆している。しかし、これらは運用者の国籍や国家による支援の有無を特定する根拠にはならない。DeadTagの運用者についても、現時点で身元は明らかになっていない。

今回確認された配布手法は、Citizen Labが過去に調査した「AdFection」と共通点がある。AdFectionでは、Discover-Techの広告と、Al Jazeeraを標的としたCandiruによる感染との関連が指摘されていた。ただし、AdFectionの調査が特定の対象に対する監視活動に焦点を当てていたのに対し、今回の事例では、広告配信の仕組みや管理されずに残されたWebサイトの構成要素が、より広範な犯罪目的の攻撃に利用されていた。

また、悪意のある広告コンテンツがMetaの広告審査をどのように通過したのかについても、詳しい経緯は確認されていない。侵害された仲介事業者の利用、配布経路の難読化、広告審査の不備などが考えられるものの、いずれも現段階では可能性のある説明にとどまっている。

Webサイトの管理者には、使用していないサードパーティー製スクリプトタグの削除や、新たに追加されたスクリプトと参照先ドメインの監視、制限的なContent Security Policy（CSP）の適用などが対策として挙げられる。iPhoneの利用者にとっては、最新のセキュリティアップデートを適用することが重要であり、特に攻撃を受けるリスクが高い利用者はロックダウンモードの利用も検討できる。

侵害が疑われる組織では、調査に必要なフォレンジック証拠を保全するとともに、流出した可能性のある認証情報を変更するなどの対応が必要となる。