Aanvallers hebben via het advertentiesysteem op voetbalsite VI, Autoblog, GeenStijl, Scientas, Bright, De Dagelijkse Standaard en Women's Health geprobeerd om kwetsbare iPhones van bezoekers met malware te infecteren. Daarbij is mogelijk gevoelige informatie gestolen. "Als een dergelijke aanval is geslaagd, heeft een aanvaller mogelijk toegang kunnen krijgen tot opgeslagen wachtwoorden, inloggegevens van apps en toegangssleutels van cryptowallets. Ook andere privégegevens, waaronder berichten, foto's en contacten, zijn dan mogelijk toegankelijk geworden", aldus de verklaring van VI.
De kwaadaardige code was gedurende meerdere dagen deze maand op de website actief (1, 3 en 11 november) en werkte tegen de iPhone XS, XR of nieuwer die iOS 18.7.2 of ouder draaiden, alsmede de iPhone 6s, 7, 8, X en SE (eerst generatie) met iOS 15.8.6 of 16.7.14 of ouder. Het maakte daarbij niet uit welke browser er werd gebruikt, aldus VI. Apple kwam op 12 december vorig jaar met iOS 18.7.3 en op 11 maart dit jaar met iOS 15.8.7 en 16.7.15 waarin de kwetsbaarheden werden verholpen die bij de aanval zijn misbruikt.
Begin dit jaar waarschuwde Google voor twee exploitkits genaamd Coruna en DarkSword waarmee aanvallers kwetsbare iPhones via verschillende kwetsbaarheden proberen te infecteren, om vervolgens cryptowallets en andere gevoelige informatie van het toestel te stelen. De DarkSword-exploitkit verscheen ook op internet. Ook VI waarschuwt dat de cryptowallets van bezoekers mogelijk risico lopen. "Gebruikte u op de betreffende iPhone een cryptowallet, overweeg dan uw tegoeden over te zetten naar een nieuwe wallet, met een nieuwe herstelzin die op een veilig apparaat is aangemaakt. Alleen een wachtwoord wijzigen biedt niet altijd voldoende bescherming als een herstelzin of privésleutel is buitgemaakt."
Advertentiesysteem
Voetbal International meldt dat het gebruikmaakt van een advertentiesysteem dat door een externe softwareleverancier wordt geleverd en door een afzonderlijke advertentiedienstverlener wordt beheerd. Een aanvaller wist toegang tot het beheersysteem te krijgen en aanpassingen door te voeren, waardoor de kwaadaardige code aan een advertentietag werd toegevoegd, die onder meer op VI.nl wordt gebruikt. Deze tag zorgt voor de weergave van advertenties en is onderdeel van de website. Op welke sites de advertentietag nog meer actief is laat VI niet weten.
Hoe de aanvaller precies toegang tot het advertentiebeheersysteem kon krijgen wordt niet gemeld, behalve dat de gebruikte kwetsbaarheid is verholpen: "De aangetroffen kwaadaardige code is uit de advertentieconfiguratie verwijderd. Op 11 november is de ontdekte kwetsbaarheid in het advertentiebeheersysteem verholpen. Ook zijn de aangetroffen ongeautoriseerde accounts verwijderd en bestaande toegangssessies beëindigd."
VI stelt verder dat het onderzoek naar de aanval nog gaande is. "Samen met de betrokken technische partijen wordt onderzocht welke gegevens mogelijk zijn geraakt, welke bezoekers risico hebben gelopen en of aanvullende maatregelen nodig zijn."
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
