不點擊連結只瀏覽也中招，駭客以廣告與遭入侵網站散播 iPhone 間諜軟體
資安研究員警告，駭客利用線上廣告與遭入侵的正常網站散播 iPhone 間諜軟體，受害者無須點擊任何惡意連結，只要瀏覽網頁或滑過一則廣告，手機就可能遭到入侵。
《富比士》（Forbes）與Axios報導，行動資安公司iVerify與資安公司Report URI於21日公布研究，揭露兩起疑似與中國有關的犯罪集團攻擊行動，目的在竊取登入憑證與加密貨幣。
iVerify發現，一名金融機構員工在Instagram滑過一則職業足球廣告後，iPhone隨即遭到感染。惡意程式碼在廣告出現時便自動執行，先偵測作業系統版本，再部署相應的漏洞利用程式，竊取帳密並搜尋加密貨幣錢包。
另一起攻擊由Report URI創辦人赫爾姆（Scott Helme）揭露。駭客買下約630個過期網域，這些網域過去提供聊天機器人、流量分析等功能，許多網站至今仍會載入程式碼。駭客藉此將惡意程式植入至少6,600個正常網站，每月造訪量合計約4,900萬人次；248個網站直接推送間諜軟體給iPhone，形同間諜軟體的「快遞網路」。
赫爾姆將幕後集團命名為「DeadTag」，認為對方將網站流量轉賣給其他犯罪者，每週新增高達十個網域。買家之一使用兩套據信外洩自國家情報機構的iPhone漏洞利用套件。由於蘋果已修補相關漏洞，駭客專挑未更新裝置下手，但程式碼顯示對方已準備換成針對新漏洞的攻擊工具。
加拿大公民實驗室（Citizen Lab）上週才揭露，有人以精準廣告向半島電視台記者的裝置植入間諜軟體。iVerify共同創辦人柯爾（Rocky Cole）表示，間諜軟體已是當前擴散最快的行動裝置威脅。研究人員呼籲用戶盡快更新手機作業系統。蘋果與Meta截至發稿前未回應。
（首圖來源：Pixabay）