![[FBM] CARDS](https://cpa.rip/wp-content/uploads/cr-a1/fbm-cards-v1/fbm-cards-logo.svg){kind=logo}
Мы пообщались про эксплойт DarkSword с ребятами из компании Kaminari Ad, которые занимаются автоматической модерацией объявлений до публикации и во время показа, то есть могут ловить подмены и манипуляции с лендингом в процессе.
Они поделились с нами статистикой. Начиная с конца августа и по начало ноября 2026 года они смогли поймать больше 5 тысяч попыток купить трафик на зараженные сайты у своих клиентов. А среди их клиентов крупные тизерные сети и прямые паблишеры.
Набор эксплойтов DarkSword атакует iPhone на iOS 18.4–18.7, телефон заражается при открытии зараженной страницы в Safari. 19 марта 2026 года его впервые описали исследователи Google Threat Intelligence Group вместе с Lookout и iVerify, а в конце марта часть кода выложили на GitHub.
Сколько раз ловили DarkSword: динамика по неделям
Команда Kaminari Ad начала детектировать его с 20 августа 2026 года. До середины сентября он срабатывал от 80 до 144 раз в неделю, в октябре уже 410–437 раз, а за неделю со 2 по 8 ноября 1 476 раз. Всего к 12 ноября набралось около 5 400 срабатываний, из них 1 898 пришлись на 1–12 ноября. В последние три-четыре дня, до 12 ноября, эксплойт раздавали 39 хостов.
Рост объясняется двумя причинами, это увеличение числа попыток купить трафик под эксплойт и детект Kaminari Ad стал точнее.
РоманPMM, Kaminari Ad
«Мы постоянно улучшаем методы детекции, поэтому находим то, что не было видно. Как и сами механики фрода развиваются. Так что тут совокупность факторов, мы становимся технологичнее и ловим больше.»
Топ-10 стран, где ловили DarkSword
На первом месте целевых стран для эксплойта DarkSword, как ни странно, США, дальше тройка крупнейших европейских экономик и потом все остальные.
В цифрах это выглядит так: США 566 срабатываний, Германия 431, Франция 423, Великобритания 421. Дальше идут Индия, Испания, Бразилия, Япония, Нидерланды и Турция, а на остальную 121 страну пришлось около 2 000 срабатываний.
Как Kaminari Ad впервые нашла эксплойт в креативах
Мы спросили у Романа из Kaminari Ad, как они вышли на DarkSword.
РоманPMM, Kaminari Ad
«Один из наших партнёров регулярно проверял свои креативы через Kaminari Ad. Технически всё выглядело чисто, но партнёр заметил странное: резко выросли бюджеты и число рекламодателей. Новые рекламодатели приходили с офферами, которые на первый взгляд выглядели белыми. У партнёра были подозрения, что с ними что-то не так, и он пришёл с вопросом к нам.
Мы разобрали эти креативы и нашли в них iOS-эксплойт: страница выглядела как обычная витрина, а опасный код приходил подзапросом. После этого мы выделили находку в отдельный тег iOS Browser Exploit Attempt в Kaminari Ad и начали проверять рекламу других партнёров, чтобы предупредить их и не пустить такую схему в их трафик.
Обычная модерация по скриншоту и тематике страницы такую схему не видит: витрина чистая, эксплойт приходит отдельным запросом.»
Под что маскировались такие страницы, видно по данным Kaminari Ad за неделю с 21 по 27 октября: среди алертов с известной темой больше всего адалта (140) и крипты с финансами (85), дальше часы и золото (29) и знакомства (23). Ещё у 170 из примерно 450 алертов тема в отчёте не указана.
Обязательно прочитайте историю Марии, у которой с iPhone на iOS 18 украли 16 тысяч долларов в крипте.
Комментарии