Шпионские программы перестали быть точечным оружием и заражают обычных пользователей

Специалисты по поиску угроз iVerify зафиксировали заметный сдвиг в распространении мобильного шпионского ПО. На тысячу бесплатных проверок потребительских устройств пришлось 1,07 подтверждённого заражения. Для корпоративных систем показатель ниже — 0,7 случая на тысячу сканирований.

Разницу в компании объясняют обязательными обновлениями, средствами обнаружения на устройствах и сетевыми системами защиты, которые есть у предприятий. Хотя точное число проверенных потребительских устройств iVerify не раскрывает, сооснователь Роки Коул говорит о сотнях тысяч сканирований. По его оценке, средняя компания из списка Fortune 500 ежегодно сталкивается примерно с 65 заражёнными устройствами.

Причём пострадавшими среди сотрудников чаще оказываются не топ-менеджеры, а рядовые работники. Коул формулирует главный вывод так: в этом году шпионское ПО для iOS стало массовым и превратилось в проблему каждого. По его словам, главный игрок, атакующий iPhone шпионскими программами, сегодня не государство, а обычные киберпреступники, и угроза стала неизбирательной.

Большинство найденных заражений использовалось для кражи учётных данных и криптовалюты, а не для политической слежки, характерной для дорогих коммерческих шпионских продуктов. Злоумышленники применяют утёкшие наборы эксплойтов для iOS, чтобы работать массово: доставлять атаки через онлайн-рекламу, добираться до обычных сотрудников и заметать следы до реакции защитников. Около 75% обнаружений связаны с криминальными наборами Coruna или DarkSword, оставшиеся 25% — с коммерческим шпионским ПО вроде Pegasus.

DarkSword стал публичным в марте и представляет собой продвинутый JavaScript-набор эксплойтов для iOS с функциями шпионского каркаса. Его разворачивают как атаку типа watering hole: пользователю не нужно кликать по ссылке, достаточно зайти на скомпрометированный сайт через браузер, чтобы атака сработала. Coruna тоже распространяется через веб-атаки: посетители вредоносных сайтов активируют уязвимости WebKit и ядра.

Этот шпионский каркас был похищен у оборонного подрядчика и помогал преступникам воровать криптовалюту более чем с 42 000 iOS-устройств через поддельные китайскоязычные финансовые сайты. Google Threat Intelligence Group впервые обнаружила Coruna в феврале 2025 года, и в течение прошлого года набор постепенно распространялся. Его появление напрямую связывают с бывшим руководителем L3Harris Trenchant Питером Уильямсом, который признал вину в краже эксплойтов и продаже их на чёрном рынке за криптовалюту.

В феврале 2026 года его приговорили к семи годам заключения. Как отмечают в iVerify, DarkSword и Coruna дают тот же уровень контроля над телефоном, что и передовые коммерческие бренды вроде эксплойтов Pegasus с нулевым кликом: они открывают доступ к сообщениям, фотографиям, электронной почте, микрофону и камере. Разница в доступности: Pegasus и аналоги продаются только государственным заказчикам, а DarkSword и Coruna может купить широкий круг лиц.

При этом владельцы заражённых устройств не получали уведомлений Apple об угрозе. Ник Адамс, сооснователь и гендиректор компании 0rcus, называет уровень заражения «один на 900» числом массового облова, а не точечного преследования. Наёмное шпионское ПО создавалось как скальпель, а теперь используется как сеть, поясняет он.

По данным отчёта, Android сталкивается с похожим сдвигом: недорогие готовые шпионские комплекты позволяют злоумышленникам без больших затрат удалённо захватывать телефоны. Главная цель таких атак, подчёркивает Коул, не кража интеллектуальной собственности и не advantage in trade negotiations — это просто киберпреступность. Под угрозой может оказаться каждый сотрудник и каждый человек.

iVerify ожидала снижения доли заражений, поскольку число обычных пользователей бесплатных проверок выросло в четыре раза, но этого не произошло. Ещё в декабре 2024 года компания находила Pegasus на 2,5 устройства из тысячи проверенных. Тогда Coruna и DarkSword не были представлены на рынке, а главной угрозой считались спонсируемые государствами атаки с использованием дорогого коммерческого шпионского ПО.

Теперь iVerify советует бизнесу менять модель угроз: перестать фокусироваться только на руководителях и исходить из того, что проблема касается всей организации.