Berichten zufolge wurde ein iPhone-Nutzer allein dadurch mit Spyware infiziert, dass er an einer Instagram-Werbung vorbeiscrollte, ohne irgendetwas anzuklicken.
Forscher des Mobilfunksicherheitsunternehmens iVerify und des Website-Sicherheitsunternehmens Report URI haben Kampagnen dokumentiert, die die Infrastruktur hinter dem gewöhnlichen Surfen im Web missbrauchen, um verwundbare iPhones anzugreifen.
In einem von Axios berichteten Fall wurde das iPhone eines Mitarbeiters eines Finanzinstituts infiziert, nachdem der Mitarbeiter an einer Fußballwerbung auf Instagram vorbeigescrollt hatte, ohne sie Berichten zufolge anzuklicken. Der Vorfall verdeutlicht eine beunruhigende Realität: Hochentwickelte Spyware-Angriffe können manchmal erfolgreich sein, ohne dass Opfer auf verdächtige Links klicken oder schädliche Dateien herunterladen.
So funktionieren Spyware-Angriffe
Die Recherche beschreibt zwei unterschiedliche Angriffsmethoden: den Missbrauch abgelaufener Website-Domains durch DeadTag und einen separaten Vorfall mit einer bösartigen Instagram-Werbung.
DeadTag, untersucht von Report URI, betrifft Angreifer, die abgelaufene Domains kaufen, auf die legitime Websites weiterhin für Drittanbieter-Skripte wie etwa Analysetools verweisen. Indem sie die Kontrolle über diese Domains übernehmen, können Angreifer Besuchern schädlichen Code ausliefern.
Die Forscher brachten die Operation mit Exploit-Kits wie Coruna und DarkSword in Verbindung, die mehrere Schwachstellen kombinieren, um angreifbare iOS-Geräte zu kompromittieren. Eine erfolgreiche Ausnutzung kann es Angreifern ermöglichen, Sicherheitsvorkehrungen zu umgehen und Spyware einzuschleusen, die auf vertrauliche Informationen wie gespeicherte Zugangsdaten und Daten im Zusammenhang mit Kryptowährungen zugreifen kann.
Der separate Instagram-Vorfall, von iVerify untersucht, betraf einen Mitarbeiter eines Finanzinstituts, dessen iPhone Berichten zufolge infiziert wurde, nachdem er an einer Werbung für die Fußball-Weltmeisterschaft vorbeigescrollt hatte. Die Forscher brachten den Angriff mit einer DarkSword-Variante in Verbindung, und das Opfer hatte Berichten zufolge nicht auf die Anzeige geklickt.
Der Unterschied liegt darin, wie die schädlichen Inhalte die Opfer erreichen. DeadTag nutzt aufgegebene Abhängigkeiten von Drittanbieter-Websites aus, während es sich beim Instagram-Vorfall um schädliche Werbeinhalte handelte.
Beide Fälle zeigen, wie Angreifer potenziell verwundbare Geräte durch Inhalte kompromittieren können, die beim gewöhnlichen Surfen geladen werden, ohne dass der Nutzer mit einem verdächtigen Link interagieren muss.
Wenn Nichtstun zum Sicherheitsrisiko wird
Viele Empfehlungen zur Cybersicherheit konzentrieren sich darauf, was Nutzer online tun und lassen sollten.
Bei Spyware lautet der übliche Rat, Phishing-Links zu meiden – ein gängiges Mittel, mit dem Angreifer Opfer dazu bringen, sich Malware auszusetzen.
Bedrohungsakteure passen sich jedoch ständig an, und die Angriffstechniken in diesen Fällen – Malvertising und Drive-by-Angriffe – sind an sich nicht neu.
Beunruhigend ist, dass die Techniken in Kombination häufig viele Empfehlungen zur Cybersicherheit aushebeln und selbst die vorsichtigsten Nutzer kompromittieren können.
Das macht eine Einschränkung von Ratschlägen deutlich, die den Nutzern zu viel Verantwortung dafür auferlegen, verdächtige Aktivitäten zu erkennen.
Wenn schädlicher Code automatisch geladen wird, kann das Ergebnis von Schwachstellen im Gerät und den Schwächen der Systeme abhängen, die die Inhalte ausliefern – nicht einfach davon, ob jemand eine riskante Entscheidung trifft.
So können iPhone-Nutzer ihr Risiko verringern
Auch wenn diese Angriffe nicht voraussetzen, dass Opfer auf schädliche Links klicken, können iPhone-Nutzer dennoch Maßnahmen ergreifen, um ihre Gefährdung zu verringern.
Zunächst prüft die Malware die iOS-Version eines Geräts, um festzustellen, welche Exploits funktionieren könnten. Die dokumentierten Kampagnen zielen vor allem auf ältere, verwundbare Versionen ab, wobei Forscher Versuche beobachtet haben, die Tools an iOS 26 und 27 anzupassen; ein großer Teil dieses neueren Codes funktioniert Berichten zufolge jedoch nicht.
Moderne Browser verfügen zudem über Sicherheitsfunktionen, die bekannte schädliche Websites blockieren und die Ausnutzung von Schwachstellen erschweren sollen. Safari verwendet beispielsweise Safe Browsing, um als schädlich identifizierte Domains zu blockieren, während integrierte Schutzfunktionen des Browsers und des Betriebssystems manche Drive-by-Angriffe stoppen können, bevor sie erfolgreich sind.
Diese Maßnahmen können jedoch keinen Schutz vor jedem neuen Exploit garantieren.
Am wirksamsten ist es, iOS und Browser zu aktualisieren, damit bekannte Sicherheitslücken geschlossen werden. iPhone-Nutzer mit einem erhöhten Risiko gezielter Angriffe können außerdem den Sperrmodus von Apple in Betracht ziehen, der bestimmte Funktionen einschränkt, auf die sich hochentwickelte Exploits stützen können.
Diese Vorsichtsmaßnahmen können nicht jede Bedrohung ausschalten, aber sie können die Möglichkeiten der Angreifer einschränken. Die gemeldeten Vorfälle zeigen, warum Sicherheit mehr erfordert als das Meiden verdächtiger Links: Selbst vertraute Plattformen und legitime Websites können zu Angriffskanälen werden, wenn Schwachstellen weiterhin ausnutzbar sind.
Weitere Meldungen: 1Password hat eine Funktion eingeführt, mit der sich KI-Agenten bei Onlinekonten anmelden können, ohne die Passwörter der Nutzer preiszugeben, obwohl weiterhin Bedenken bestehen, worauf Agenten nach der Anmeldung zugreifen und was sie tun können.