虚假 iPhone Duo 预订网站利用 DarkSword 漏洞盗取加密钱包

安全研究人员警告称，一个伪装成即将发布的 iPhone Duo 官方苹果预订页面的欺诈网站正试图入侵有漏洞的 iPhone，并窃取加密货币钱包数据、保存的凭据和个人文件。

Malwarebytes 发现了这个诈骗页面，该页面模仿了 Apple 的品牌设计，使用了类似的字体和倒计时器，以营造一种虚假的紧迫感。该网站以“授权合作伙伴独家”的名义，承诺提供 500 美元的代金券和 iPhone Duo 的早期预订权限。该欺诈行为的一个明显迹象是：每次刷新页面时，倒计时器都会重置。

在精致的外表下，该页面部署了 DarkSword 漏洞利用链，其目标是尚未打补丁的老款 iPhone。关键在于，这种攻击不需要用户交互。研究人员表示，只需打开页面就足以触发攻击尝试。

如果漏洞利用成功，另一个有效载荷就会开始收集设备标识符和状态信息，然后尝试传输已安装应用列表和 Apple Notes 的内容。随后，该恶意软件将重点转向加密货币钱包，扫描 MetaMask、Phantom、Trust Wallet、Coinbase Wallet、Exodus 和 Tonkeeper。它还试图从手机的钥匙串中恢复保存的凭据。

当发现目标钱包且与攻击者服务器的初始通信成功后，有效载荷会尝试上传钱包文件、恢复的钥匙串数据和照片缩略图。随后，代码会转向信息、联系人、通话记录、语音邮件、电子邮件、日历条目和缓存的位置数据。它还可以联系其服务器以获取进一步指令。

DarkSword 漏洞利用链由 Google 在 3 月份首次披露，Apple 在同月晚些时候发布了补丁。运行当前版本 iOS 的设备不受此攻击影响。

Apple 官方的 iPhone Duo 时间表很明确：预订将于太平洋时间 10 月 16 日凌晨 5 点开始，设备将于 10 月 23 日发货。客户可以从 10 月 12 日起通过 Apple 官方渠道准备预订，但在 10 月 16 日之前无法完成购买。任何声称能提前接受预订的网站都是欺诈性的。

安全研究人员建议用户在 iOS 更新可用时立即安装，并避免点击来自他们不信任或未预料到的发件人的链接。