DeadTag-Netzwerk: 660 Domains erreichen 135 Millionen Besuche im Monat
Veröffentlicht am: 22.10.2026 um 23:54 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten der Unternehmen iVerify und Report URI haben zwei großangelegte Kampagnen aufgedeckt, bei denen iPhones über hunderte manipulierte Webseiten sowie reguläre Online-Anzeigen mit Spyware infiziert werden.
Nach Berichten vom 22.10.2026 erfolgen die Angriffe vollständig ohne Interaktion der Nutzer: Ein einfacher Klick ist nicht erforderlich, da die bösartigen Skripte bereits beim reinen Laden der Werbeanzeige oder Website im Hintergrund aktiv werden. Die Urheber weisen mutmaßlich Verbindungen nach China auf.
Infektionen über Werbeanzeigen und abgelaufene Domains
In einem von iVerify dokumentierten Fall wurde das Smartphone eines Mitarbeiters einer Finanzinstitution kompromittiert, nachdem dieser auf Instagram an einer Anzeige für ein Profi-Fußballangebot vorbeigescrollt hatte. Die Schadsoftware überprüfte das installierte Betriebssystem, erbeutete Anmeldedaten und durchsuchte gespeicherte Krypto-Wallets.
Report URI identifizierte zudem einen weiteren Angriffsvektor, der fast 8.000 legitime Internetseiten betrifft. Die Hacker registrierten rund 630 abgelaufene Domains, die von diesen Webseiten weiterhin für Chatbots sowie Analysedienste eingebunden wurden.
Besucher mit anfälligen iPhones wurden über diese Pfade gezielt auf Spyware umgeleitet. Scott Helme, Vorstandschef von Report URI, erklärte, die dahinterstehenden Gruppen seien entweder chinesischen Ursprungs oder gezielt so aufgestellt, dass sie diesen Eindruck erweckten.
Das Ökosystem um DeadTag, Coruna und DarkSword
Die beiden Sicherheitsfirmen legten ein weitverzweigtes Ökosystem für die zwei iOS-Exploit-Kits Coruna und DarkSword offen. Eine als DeadTag bezeichnete Gruppe kauft systematisch abgelaufene Webadressen alter Analyse- und Werbe-Tags auf.
Bislang wurden über 660 neu registrierte Domains ermittelt, die auf tausenden Seiten geladen werden und zusammen auf geschätzte 135 Millionen Besuche pro Monat kommen. DeadTag registriert wöchentlich bis zu zehn neue Adressen und verkauft den Zugriff auf diesen Datenverkehr.
Das lediglich zwei Kilobyte große Ladeskript analysiert die Webseitenbesucher, kommuniziert mit einem Server der Täter und leitet ausgewählte Zielpersonen weiter. Dies geschieht neben gefälschten VPN-Diensten, fingierten Umfragen und betrügerischen Krypto-Casinos auch auf Exploit-Kits für iPhones.
Viele iPhone-Nutzer übersehen nach dem Update diese gefährliche Einstellung. Ein Apple-Experte erklärt in diesem Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich schützen. So installieren Sie iOS-Updates sicher – ohne Datenverlust und ohne Stress
Das Kit Coruna zielt auf die Versionen iOS 13 bis 17.2.1 ab, während DarkSword in der P7-Variante AKS40 auf iOS 18.4 bis 18.7 ausgerichtet ist. Die Schadprogramme zielen darauf ab, Keychain-Passwörter sowie Krypto-Wallets abzugreifen, darunter Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink und Bitpie.
Zudem platzierten die Akteure den Loader für DarkSword auf hunderten Online-Shops auf Basis von PrestaShop. Der Code enthält chinesischsprachige Notizen, und die Server fast aller Coruna-Lader befinden sich auf Webseiten für Krypto und Glücksspiel in chinesischer Sprache. Nach Medienberichten nutzten mehrere Domains der Angreifer einen chinesischen Web-Sicherheitsdienst.
Kommerzialisierung staatlicher Überwachungswerkzeuge
Nach Angaben von iVerify und Report URI wurden iPhones über mindestens 6.600 legitime Webseiten mit zusammen 49 Millionen monatlichen Besuchen attackiert. Davon liefern 248 Seiten mit acht Millionen monatlichen Besuchen die iPhone-Spyware direkt aus, während der Rest auf Spam-Seiten weiterleitet.
Werkzeuge, die ursprünglich von staatlichen Geheimdiensten stammten und im Frühjahr zum Einsatz kamen, werden nun von Kriminellen für finanzielle Diebstähle genutzt. Zuvor hatte bereits das Forschungsinstitut Citizen Lab den Einsatz von Zero-Click-Spyware über zielgerichtete Werbeanzeigen bei mindestens 45 Geräten von Al Jazeera bestätigt.
Wer sich mit der Absicherung seines Geräts befasst, sollte bestimmte Einstellungen nach jedem Update sofort überprüfen. Dieser kostenlose Leitfaden zeigt die einfache Schritt-für-Schritt-Methode für Apple-Nutzer. Kostenlosen Ratgeber für sichere iOS-Updates anfordern
Rocky Cole, operativer Leiter bei iVerify, stufte Spyware als die am schnellsten wachsende Bedrohung für Mobilgeräte ein. Apple hat ältere Schwachstellen mittlerweile geschlossen; die Angreifer konzentrieren sich vor allem auf nicht aktualisierte Geräte.
Zugleich deuten Spuren im Code darauf hin, dass neue Exploits für künftige Versionen vorbereitet werden. Weder Apple noch der Instagram-Mutterkonzern Meta äußerten sich auf Anfragen zu den aktuellen Vorfällen. IT-Sicherheitsexperten raten Nutzern zur zügigen Installation aller anstehenden Betriebssystem-Updates.
