Report URI и iVerify раскрыли DeadTag — сеть, которая использует забытые подключения к закрывшимся сервисам аналитики и рекламы для доставки вредоносного кода посетителям сайтов. В разборе от 22 октября Report URI описывает сотни повторно зарегистрированных доменов, обращения к которым сохранились на тысячах сайтов.

Механизм начинается с обычного тега — строки на странице, поручающей браузеру загрузить программу стороннего сервиса. Сервис прекращает работу, но строку никто не убирает. Когда срок регистрации домена истекает, его покупают злоумышленники. Браузер по-прежнему обращается по знакомому адресу, только код ему теперь отдаёт другой владелец. Для этого не требуется взламывать сервер каждого сайта.

Исследователи проследили перенаправления от таких тегов до страницы, которая доставляла на уязвимые iPhone наборы эксплойтов Coruna и DarkSword. По совместному отчёту, эта цепочка нацелена на кражу паролей из «Связки ключей», данных устройства и содержимого криптокошельков. Установка приложения или дополнительное нажатие после загрузки атакующей страницы не нужны. Описанные наборы используют уязвимости старых версий iOS; речь не о доказанном взломе любого актуального iPhone.

Большая часть наблюдавшихся перенаправлений вела к мошенническим предложениям, а доставка шпионского ПО была одним из вариантов. Тысячи сайтов с оставшимися тегами — это охват инфраструктуры, а не установленное число заражённых телефонов. Общего подтверждённого числа пострадавших исследователи не приводят.

Ранее мы писали об AdFection, где шпионское ПО доставлялось через таргетированную рекламу. DeadTag показывает другой способ получить доступ к посетителям: выкупить адрес давно исчезнувшего подрядчика. Сервис уже закрыт, а доверие к его домену продолжает работать.