Cybercriminelen infecteren in toenemende mate gewone consumentenapparaten met spyware, vooral via webgebaseerde exploits zoals Coruna en DarkSword.
Cybercriminelen infecteren in toenemende mate apparaten van gewone consumenten met spyware, zo blijkt uit een nieuw rapport van het threat hunting-bedrijf iVerify. Uit de gratis online scans van iVerify blijkt dat er gemiddeld 1,07 spyware-infecties per 1.000 consumentenscans worden gedetecteerd. Dit is hoger dan bij ondernemingen, waar 0,7 infecties per 1.000 scans werden gevonden. Deze verschillen schrijft iVerify toe aan strengere patching, detectie op het apparaat en netwerkbeveiliging binnen bedrijven.
Volgens medeoprichter Rocky Cole werden er honderden duizenden consumententoestellen gescand. Gemiddeld ondervindt een Fortune 500-bedrijf ongeveer 65 infecties per jaar op zijn apparaten. Opvallend is dat veel geïnfecteerde bedrijfsapparaten toebehoren aan gewone medewerkers en niet aan topbestuurders. Cole stelt dat 2026 het jaar is waarin iOS-spyware mainstream werd en een algemeen probleem werd. De belangrijkste dreigingsactoren die spyware op iPhones inzetten zijn niet langer overheden, maar cybercriminelen, aldus Cole.
De meeste infecties die iVerify detecteerde, werden gebruikt voor het stelen van inloggegevens en cryptovaluta, in tegenstelling tot de politiek gemotiveerde misbruiken die vaak met geavanceerde commerciële spyware worden geassocieerd. De aanvallen werden uitgevoerd met gelekte iOS-exploitkits die op grote schaal worden ingezet via online advertenties, waardoor gewone werknemers worden bereikt en sporen worden gewist voordat verdedigers kunnen reageren. Ongeveer 75 procent van de detecties betrof criminelen die de exploitkits Coruna of DarkSword gebruikten, de overige 25 procent betrof mercenary spyware zoals Pegasus.
DarkSword is een geavanceerde JavaScript-gebaseerde iOS-exploitkit en spywareframework, die sinds maart openbaar is. Deze wordt ingezet via zogenaamde watering hole-aanvallen, waarbij een bezoek aan een besmette website al voldoende is om een infectie te veroorzaken, zonder dat er op een link hoeft te worden geklikt. Coruna wordt eveneens via webaanvallen verspreid, waarbij kwetsbaarheden in WebKit en de kernel worden misbruikt. Deze spywarekit is gestolen van een defensiecontractant en wordt door cybercriminelen gebruikt om cryptovaluta te stelen van meer dan 42.000 iOS-apparaten via nep-Chinese financiële websites.
De Google Threat Intelligence Group ontdekte Coruna in februari 2025, waarna het zich langzaam verspreidde. De exploitkit is direct gelinkt aan een voormalige L3Harris Trenchant-executive die schuldig pleitte aan het stelen en verkopen van exploits op de zwarte markt in ruil voor cryptobetalingen. Deze persoon, Peter Williams, werd in februari 2026 veroordeeld tot zeven jaar gevangenisstraf. Zowel DarkSword als Coruna maken deel uit van een bredere trend waarbij mobiele exploitframeworks zich ontwikkelen van zeldzame, streng gecontroleerde inlichtingenoperaties naar bredere verspreiding.
Gebruikers van apparaten die geïnfecteerd zijn met DarkSword en Coruna ontvingen geen waarschuwingen van Apple. Beide exploitkits bieden dezelfde mate van controle over de telefoon als geavanceerde commerciële spyware zoals de zero-click Pegasus-exploits. Dit betekent dat berichten, foto’s, e-mails kunnen worden ingezien en microfoons en camera’s kunnen worden geactiveerd. Het verschil is dat DarkSword en Coruna voor een brede groep toegankelijk zijn, terwijl Pegasus en andere commerciële spyware exclusief aan staten worden verkocht.
