DeadTag usa domínios expirados para atacar iPhones desatualizados

Natureza do caso: não é vazamento nem tem vítima organizacional única. É uma campanha de distribuição de exploit com dois vetores. Pelo primeiro, o operador compra domínios expirados que sites legítimos ainda carregam como scripts de analytics ou publicidade, e passa a servir código próprio em todas as páginas que mantêm a tag. Pelo segundo, anúncios maliciosos, como o do Instagram com tema de Copa do Mundo, executam código no momento em que aparecem. Nos dois, o código checa o sistema operacional e só então entrega um exploit compatível. Parte do tráfego vai para golpes comuns; só o tráfego qualificado, por versão de iOS, chega ao Coruna e ao DarkSword.

O que cada parte afirma: a Report URI (Scott Helme) nomeia a operação DeadTag, diz ter achado 660+ domínios expirados e re-registrados e afirma que o operador monetiza o tráfego vendendo-o a outros grupos. A iVerify descreve o caso do Instagram e diz que o mesmo funcionário foi atacado de novo, por outro grupo, com outra variante do DarkSword, e que a equipe de segurança do cliente foi alertada quase em tempo real. Nenhuma vítima organizacional comentou. Não achei posicionamento público da Meta, da Apple sobre esta campanha nem de regulador (ANPD, SEC ou equivalente). Não consegui abrir os textos completos da Report URI e da iVerify; trabalhei com os trechos retornados pela busca e com a cobertura derivada, e isso limita a checagem dos números.

Os números não batem. A Forbes fala em 'centenas de sites'. Fontes secundárias atribuem a ela 6.600 sites com 49 milhões de visitas mensais, dos quais 248 distribuiriam o spyware diretamente. O Axios fala em quase 8.000 sites e cerca de 630 domínios. A GBHackers e a cybersecuritynews citam 135 milhões de visitas mensais para o escopo atual da investigação. Um agregador chega a atribuir 8 milhões de visitantes aos 248 sites, o que contradiz os demais. A Report URI fala em 660+ domínios, e a iVerify em 'centenas' de domínios e 'milhares' de sites. Não consigo dizer qual cifra é a mais atual: 49 e 135 milhões podem refletir escopos e momentos diferentes de uma investigação em andamento. Trato como ordem de grandeza e não uso nenhuma como número verificado.

O ponto central é o que esses números medem: exposição potencial de visitas a sites que carregam a tag. Não medem iPhones infectados nem usuários únicos. A infecção exige iOS vulnerável, e todos os bugs usados pelos kits já foram corrigidos pela Apple. O DarkSword explora seis falhas, com correções entre iOS 18.7.2 e 26.3 (entre elas CVE-2025-43529, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520 e CVE-2026-20700); o Coruna usa falhas de iOS 13 a 17.2.1. A Apple chegou a ampliar o iOS 18.7.7 para quem não migrou ao iOS

26. A GBHackers informa que as tentativas de adaptar os kits ao iOS 26 e 27 eram em grande parte não funcionais. O caso real confirmado é um só, e a fonte é a empresa que vende detecção, o que não invalida o caso mas pede cautela sobre prevalência.

Sobre quem se beneficia da narrativa: a iVerify, que atua em segurança móvel, e a Report URI, que oferece feed de inteligência de ameaças e monitoramento de scripts, têm interesse comercial em um alarme sobre 'infecção só de rolar a tela'. Isso não torna os indicadores falsos. Os achados são técnicos e verificáveis por terceiros, e o Google já havia documentado os kits. Mas a frase de efeito 'sem fazer nada errado' omite que o alvo é iOS desatualizado.

Atribuição: a Report URI achou comentários em chinês no código de um operador de exploit associado e alvos em carteiras de usuários de língua chinesa. A Forbes diz ter visto domínios protegidos por um serviço web sediado na China. A iVerify nota concentração em domínios europeus e não em .com. Os pesquisadores avisam que nada disso estabelece nacionalidade ou localização. O responsável pelo DeadTag é desconhecido. Distinguir o operador do DeadTag (que revende tráfego) dos clientes que operam os kits é essencial, porque a Forbes relata que um dos clientes usa os kits Coruna e DarkSword e que outros clientes podem servir qualquer conteúdo.

Contexto: o Coruna foi visto primeiro com cliente de empresa de vigilância e depois com suspeito grupo russo (UNC6353) e golpistas de cripto. O DarkSword foi vazado publicamente em março, segundo o TechCrunch. O que o DeadTag acrescenta não é exploit novo, e sim canal de distribuição em escala: nenhum site foi invadido, porque o ponto de entrada é a dependência esquecida. Isso desloca a responsabilidade para a higiene de terceiros dos donos dos sites.

Em teoria, qualquer visitante com iPhone vulnerável de um site que ainda carrega uma tag sequestrada pode ser exposto. O alvo declarado é o roubo de senhas do keychain, de credenciais e de fundos em carteiras de criptomoeda. O único impacto apurado é o de um funcionário de instituição financeira, cujas credenciais teriam sido roubadas e cujas carteiras de cripto teriam sido buscadas. Isso é relevante para empresas porque a vítima era funcionária de uma instituição financeira e as credenciais podem ser corporativas. Não há número confirmado de dispositivos comprometidos, de vítimas finais nem de sites que servem exploit com sucesso. Donos de sites afetados incluem marcas conhecidas, segundo a iVerify, mas nenhuma foi nomeada nas fontes que consegui ler.