Изследователи по киберсигурност разкриха подробности за платформа за „фишинг като услуга“ (PhaaS), създадена за премахване на защитата Activation Lock на Apple от откраднати устройства чрез наемане на гласови агенти с изкуствен интелект (ИИ), които се обаждат на жертвите на кражби, представяйки се за поддръжката на Apple, и изискват техния код за достъп до устройството.
Отделът за изследване на заплахите на SOCRadar (STRU) заяви, че платформата, която проследява под името AnonyMousKIT, работи с кредитна система и разпространява примамки по пет канала от един запис за жертва:
- Имейл за 1,50 кредита
- SMS с цена според идентификатора на подателя
- Предварително записано гласово обаждане за 1 кредит
- Гласов агент с ИИ за 2 кредита
Мишените са собственици на устройства на Apple, които наскоро са били изгубени или откраднати. Страниците и обажданията изискват от тях 4- или 6-цифрения код за достъп до устройството, последван от идентификационните данни за Apple ID и накрая – актуален код за двуфакторна автентификация (2FA). Официалните насоки на Apple изрично посочват, че компанията никога не изисква парола, код за достъп до устройството или 2FA код за предоставяне на поддръжка.
„AnonyMousKIT е най-добре да се разглежда не просто като фишинг комплект, а като малък софтуерен бизнес с криминална клиентска база. Той предлага пакетни кредити, публикувани цени, абонаментни планове, поддръжка за клиенти, проследяване на състоянието и протоколи за подмяна на инфраструктурата“, се посочва в доклад на SOCRadar от понеделник.
Функцията Activation Lock, въведена в iOS 7, свързва хардуера с конкретен Apple ID и прави открадения телефон неизползваем, докато акаунтът на собственика не бъде премахнат.
Примамките съдържат вътрешния идентификатор на модела на Apple и актуалното състояние във Find My, като и двете се извличат от самото откраднато устройство. Жертвите, които последват връзката, достигат до фалшива уеб страница с брандинг на Apple, която показва анимирана карта на местоположението на телефона.
Гласовият канал с изкуствен интелект е най-добре документираният вектор след имейла, като от акаунта на оператора в търговската гласова платформа Vapi са възстановени 200 записа на обаждания, 55 транскрипции и пет конфигурирани профила на виртуални събеседници.
Докладът на изследователите не уточнява дали акаунтът е бил докладван на Vapi, като нито една от компаниите не е заявила публично дали той все още е активен. И петте профила споделят една и съща преведена самоличност – „Алис от поддръжката на Apple“ – на английски, испански и португалски език.
Обажданията са извършени между 31 август 2025 г. и 30 май 2026 г., като 179 от общо 200 са били към номера в Бразилия. Във възстановената транскрипция ИИ агентът моли жертвата да потвърди собствеността си, след което изисква четири- или шестцифрения код за достъп и повтаря цифрите за потвърждение.
След това обяснява, че някой е посетил магазин на Apple, за да премахне Activation Lock, и пита дали е получена връзка за възстановяване чрез текстово съобщение. Изследователите оценяват общата цена на 200-те обаждания на 19,24 долара, или около 9,6 цента за всяко.
Таблицата с резултатите в доклада разпределя всички 200 обаждания в четири категории: 100 затворили жертви, 48 прекъсвания поради мълчание, 24 неотговорени повиквания и 28 грешки в платформата или сигнали за заето. В доклада не се посочва брой на придобити кодове за достъп, Apple ID или 2FA кодове за нито един от петте канала.
Дневниците са достигнали до SOCRadar чрез два относителни файлови пътя в споделената кодова база, които сочат директно към главната уеб директория и позволяват достъп без автентификация през HTTP. Всяко внедряване на тази кодова база наследява този недостатък.
Сканиране на 506 домейна от семейството на фишинг комплекта идентифицира 30 отделни инсталации, достъпни през 42 домейна, като 188 от 506-те са активни.
Инсталацията на AnonyMousKIT е регистрирала 691 опита за изпращане между март и юли 2026 г., в сравнение с 6 092 в рамките на 30-те задни панела.
Три платформи, i-Blocker, Key Unlock и KG-KING, са стартирали в една и съща секунда на 10 април 2026 г., споделяйки същите Gmail акаунти за пренасочване. SOCRadar оценява този модел като един купувач, управляващ три бранда, а не като трима отделни клиенти.
Изследователите са регистрирали следните характеристики на фишинг имейлите:
- Двете най-често използвани теми са били „Your device has been found“ (308 от 691) и „Alert“ (157)
- Показваните имена са фалшифицирали Apple, Find My, Apple Support и Apple Assistance
- 627 от регистрираните изпращания са преминали през един безплатен Gmail акаунт – noreplyapple00000[@]gmail[.]com, спрямо съответно 20 и 2 за другите два акаунта за пренасочване
- 678 от 691-те примамки са съдържали данни за локация, посочващи град, включително Йоханесбург, Абуджа, Буенос Айрес, Мапуто и Мумбай
- Страниците за прихващане на данни, показвани на жертвите, са били обслужвани от URL адреси с токени от типа /help?TOKEN
Южна Африка представлява 1 735 от 6 092-те изпращания в цялото семейство, а 64 от собствените 691 изпращания на AnonyMousKIT са достигнали до некорпоративни домейни, включително 27 до правителствени адреси на Южна Африка. SOCRadar отбелязва, че тези получатели са били избрани просто защото устройствата им са били откраднати, а не заради служебните им роли.
В доклада се посочва, че четирите инструмента за отключване, предлагани в панела, служат като стръв, тъй като 5 649 от 6 092-те таргетирани устройства (92,7%) работят с чип A12 или по-нов.
Експлойтът за bootrom checkm8 засяга само чипове от A5 до A11. Също така се заявява, че техническите заобикаляния са остарели, след като Apple премина отвъд поколението на checkm8. Обществен bootrom експлойт за A12 и A13 беше пуснат на 18 юни 2026 г., два месеца преди доклада, като неговият proof-of-concept (доказателство за концепция) остава достъпен.