Сотни миллионов iPhone под угрозой: обнаружен бесфайловый взлом, не оставляющий следов

Специалисты трёх независимых компаний — Google, iVerify и Lookout — одновременно раскрыли данные об инструменте DarkSword, который позволяет взламывать iPhone без какого-либо участия владельца.

Достаточно просто открыть браузер и зайти на скомпрометированный сайт, сообщает Wired.

DarkSword относится к классу «бесфайловых» атак, которые раньше встречались почти исключительно на Windows-устройствах. Вредоносный код не устанавливает приложений и не записывает ничего в память. Вместо этого он перехватывает штатные системные процессы iOS и заставляет их передавать данные наружу.

Всего за несколько минут после заражения DarkSword успевает вытащить пароли, фотографии, переписки из соцсетей, историю браузера, заметки, данные из Apple Health и даже ключи от криптокошельков. После перезагрузки следов не остаётся, но данные уже утекли.

Инструмент содержит две цепочки эксплойтов под разные версии iOS 18. Эта система установлена примерно на четверти всех iPhone в мире. Новая iOS 26, выпущенная Apple осенью, защищает от атаки, но пользователи не спешат обновляться, в том числе из-за спорного интерфейса «жидкого стекла».

DarkSword замечен сразу в нескольких кампаниях в разных странах. Кто его автор — неизвестно, но есть косвенная улика: почти одновременно всплыл похожий инструмент Coruna. По данным TechCrunch, его создала американская компания Trenchant, подрядчик правительства США. Один из бывших сотрудников компании признал вину в продаже разработок российскому брокеру Operation Zero, который теперь находится под санкциями.

Раньше подобные инструменты были штучным товаром и использовались точечно — против журналистов, политиков или активистов. Теперь их встраивают в обычные сайты и запускают против всех подряд. Рынок брокеров перепродаёт их без разбора: кто заплатит, тот и получит.

Хакеры даже не пытались скрыть код DarkSword на заражённых сайтах. Он лежал открыто, с читаемыми комментариями и названием инструмента в тексте — фактически любой технически грамотный человек мог его скопировать и развернуть на своём сервере.

Apple выпустила патчи, в том числе экстренные обновления для старых устройств без поддержки iOS 26. Чтобы проверить наличие обновления: «Настройки» → «Основные» → «Обновление ПО». Дополнительную защиту даёт режим «Блокировка» (Lockdown Mode), он закрывает большинство векторов атаки через браузер. Приложения iVerify и Lookout умеют обнаруживать следы DarkSword в текущей версии.