Apple iOS · Exploração relatada

Spyware infecta iPhones desatualizados pela web; Apple orienta atualizar

20 de out. de 2026 · 1 min de leitura

Pesquisadores da Report URI e da iVerify relatam campanhas que entregam os spywares Coruna (iOS 13 a 17.2.1) e DarkSword P7 (iOS 18.4 a 18.7) a iPhones desatualizados por sites, anúncios e tags de analytics expirados; basta abrir a página, sem clique. Houve infecção real confirmada em agosto de 2026, via anúncio do Instagram, em dispositivo de funcionário de um cliente da iVerify. A Apple afirma que dispositivos atualizados estão protegidos: instale a versão mais recente do iOS.

Por Redação HIFY Radar Atualizado 26/10/2026 13:17 Receba isso todo dia →← Voltar ao feed 5 fontes

AltaFalhaExploração relatadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Pesquisadores da Report URI e da iVerify relataram campanhas que instalam spyware em iPhones desatualizados quando o usuário visita sites infectados ou vê anúncios maliciosos, sem precisar clicar. Os kits Coruna e DarkSword atacam versões do iOS 13 à 18.7. A Apple publicou orientação e afirma que dispositivos atualizados estão protegidos.

Por que importa

O spyware rouba senhas do keychain, dados de carteiras de cripto e informações do dispositivo e de contas, com risco financeiro e de acesso indevido. Segundo os pesquisadores, a rede de entrega alcança cerca de 135 milhões de visitas por mês a sites capazes de servir os kits. A iVerify relatou infecção real em funcionário de um cliente que apenas rolava o feed do Instagram.

O que fazer

Atualize todos os iPhones, corporativos e pessoais, para a versão mais recente do iOS (iOS 26 ou a atualização mais recente das linhas 15 a 18). Revise e troque credenciais usadas em dispositivos que rodavam versões vulneráveis. Bloqueie os indicadores de comprometimento divulgados.

Para o time técnico

Afetados: Apple iOS (Safari/WebKit) em iPhones desatualizados · iOS 13 a 17.2.1 (Coruna); iOS 18.4 a 18.7 (variante P7 do DarkSword, AKS40).
Exploração: Exploração relatada por Report URI e iVerify. Infecção real confirmada em agosto de 2026 em dispositivo de funcionário de cliente da iVerify, via anúncio do Instagram com tema de Copa do Mundo servido de ad-track[.]live. Mais de 660 domínios expirados recomprados, incorporados a milhares de sites, com cerca de 135 milhões de visitas por mês (estimativa cautelosa dos pesquisadores).
Correção: iOS 26 mais recente e atualizações mais recentes das linhas iOS 15 a 18. A Apple afirma que dispositivos atualizados estão protegidos e publicou orientação em support.apple.com (artigo 126776).
Vetor: Navegador Safari/WebKit em iOS desatualizado. Exploração 'half-click': basta a página ou o anúncio carregar, sem toque, link ou instalação. Vetores relatados: domínios expirados de tags de analytics/anúncios recomprados por atacantes (campanha DeadTag), anúncios maliciosos no Instagram e loaders plantados em centenas de lojas PrestaShop.
Mais detalhes: P7 DarkSword injeta no processo SpringBoard; beacon C2 a cada 15 segundos; endpoints /a, /beacon, /event, /result, /u, /nb, /p, /war; comandos incluem photos, apps, wallet_scan, wallet_extract (imToken), memo_scan, disk_scan; usa localStorage para evitar reexploração. Coruna e DarkSword exfiltram para o mesmo servidor; pesquisadores avaliam um único operador. Report URI afirma que o grupo parece ser de língua chinesa (comentários em chinês simplificado e sites em chinês); o operador DeadTag segue sem atribuição. Carteiras visadas: Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink e Bitpie. A operação tem espaços reservados para iOS 26 e 27, descritos como ainda não funcionais. Reiniciar pode parar o implante, mas o roubo de dados já pode ter ocorrido. Requisições POST HTTP/1.0 com User-Agent fixo; HTTPS sem validação estrita de certificado.