DeadTag: تگ‌های فراموش‌شده‌ای که جاسوس‌افزار آیفون پخش می‌کنن
خلاصهٔ کامل‌تر
به گفتهٔ Report URI و iVerify، گروهی که اسمش رو DeadTag گذاشتن هیچ سایتی رو هک نمی‌کنه. فقط دامنهٔ سرویس‌هایی رو می‌خره که تعطیل شدن ولی تگشون هنوز تو سایت‌ها مونده. «تگ» یعنی همون یه خط کد که اسکریپت یه سرویس بیرونی مثل آنالیتیکس یا تبلیغات رو لود می‌کنه. وقتی سرویس تعطیل میشه، این خط معمولاً می‌مونه چون چیزی خراب نمی‌شه. وقتی دامنه منقضی و دوباره خریده بشه، همهٔ اون سایت‌ها بی‌صدا کد مهاجم رو اجرا می‌کنن.
تا الان بیش از ۶۶۰ دامنهٔ منقضی و دوباره ثبت‌شده پیدا شده که روی هزاران سایت لود می‌شن و حدود ۱۳۵ میلیون بازدید در ماه دارن. اسکریپتشون کمتر از ۲ کیلوبایته و برای بیشتر بازدیدکننده‌ها هیچ کاری نمی‌کنه: برنامه‌های خودکار و اسکنرها رو نادیده می‌گیره، از سرور مهاجم می‌پرسه این بازدیدکننده ارزش داره یا نه و فقط انتخاب‌شده‌ها رو به صفحهٔ دیگه‌ای می‌فرسته. محقق‌ها مجبور شدن از IPهای خانگی چرخشی استفاده کنن، چون از IP دیتاسنتر جوابی نمی‌گرفتن. برای همین اسکنرهای امنیتی معمولاً فقط یه پاسخ خالی می‌بینن.
به نظر محقق‌ها DeadTag ترافیک رو به بالاترین پیشنهاد می‌فروشه. مقصدها از پاپ‌آپ تقلبی VPN و صفحه‌های جایزهٔ جعلی تا سایت‌های شرط‌بندی و کازینوی کریپتویی فرق می‌کنه. بدترین خریدار یه گروه نفوذ به آیفونه که قربانی رو به یه صفحهٔ جعلی Polymarket می‌بره. اون صفحه بسته به نسخهٔ iOS یکی از دو کیت نفوذ رو اجرا می‌کنه: Coruna برای iOS 13 تا 17.2.1 و DarkSword (نسخهٔ تغییریافتهٔ P7) برای iOS 18.4 تا 18.7.
این کیت‌ها خود مرورگر رو هدف می‌گیرن، یعنی لازم نیست کاربر چیزی رو لمس یا نصب کنه. همین که صفحه باز بشه و iOS آسیب‌پذیر باشه، کیت از مرورگر بیرون می‌زنه و جاسوس‌افزار نصب می‌کنه. این جاسوس‌افزار رمزهای keychain، اطلاعات دستگاه و کیف‌پول‌هایی مثل Binance، Coinbase Wallet، OKX، Trust Wallet و TronLink رو هدف می‌گیره. هر دو کیت داده‌ها رو به یه سرور مشترک می‌فرستن، پس پشتشون یه اپراتوره. ری‌استارت گوشی شاید implant رو متوقف کنه، ولی معمولاً دیگه دیره.
این گروه فقط به DeadTag تکیه نمی‌کنه و loader کیت DarkSword رو تو صدها فروشگاه PrestaShop هم کاشته، داخل پوشه‌ای که شبیه کد آنالیتیکس اسم‌گذاری شده. به گفتهٔ محقق‌ها، کامنت‌های چینی تو کد، تمرکز روی کیف‌پول‌های محبوب بین کاربرهای چینی‌زبان و سیستم «channel code» شبیه طرح‌های همکاری در فروش نشون می‌ده که احتمالاً یه گروه چینی‌زبان با انگیزهٔ مالیه. ولی دربارهٔ خود DeadTag چیزی معلوم نیست و به نظر یه کسب‌وکار فروش ترافیکه.
توصیه به صاحب سایت‌ها اینه که همهٔ اسکریپت‌های بیرونی رو بررسی کنن و تگ سرویس‌های بلااستفاده رو پاک کنن، اسکریپت‌های صفحه رو مانیتور کنن و Content Security Policy (یعنی لیست دامنه‌هایی که سایت اجازه داره ازشون کد لود کنه) بذارن. کاربرهای آیفون هم باید iOS رو به‌روز نگه دارن و اگه هدف حساسی هستن Lockdown Mode رو روشن کنن. اگه شک به آلودگی دارن، گوشی رو ری‌استارت کنن، رمزهای keychain رو عوض کنن و کریپتو رو به کیف‌پول جدید ببرن.
نکات کلیدی:
- بیش از ۶۶۰ دامنهٔ منقضی تو این عملیات استفاده شده که حدود ۱۳۵ میلیون بازدید ماهانه دارن.
- اسکریپت DeadTag کمتر از ۲ کیلوبایته و برنامه‌های خودکار و IPهای دیتاسنتر رو نادیده می‌گیره.
- Coruna نسخه‌های iOS 13 تا 17.2.1 و DarkSword نسخه‌های iOS 18.4 تا 18.7 رو هدف می‌گیرن.
- آلودگی بدون هیچ کلیک یا نصبی، فقط با باز شدن صفحه اتفاق می‌افته.
- loader کیت DarkSword روی صدها فروشگاه PrestaShop هم پیدا شده.
- حذف تگ‌های بلااستفاده، مانیتورینگ اسکریپت‌ها و Content Security Policy راه‌های اصلی دفاع سایت‌هاست.
