曾经只供政府监控使用的高端iPhone间谍软件，如今已被网络犯罪分子用来攻击普通用户。一份最新安全报告显示，在检测到的感染案例中，大部分都来自犯罪攻击。
这些发现来自移动安全公司iVerify于11月10日发布的《2026年高级移动威胁报告》。研究人员在每1000次消费者iOS扫描中发现1.07次间谍软件感染，约合每900台设备中有1台；若将企业设备一并计算，感染率则降至每1000台中0.7次。
这些数据仅反映iVerify用户的情况，并非全球iPhone用户整体情况。自2025年初以来，该公司消费者用户数量已增长超过三倍，但报告并未披露扫描总量或感染总数。
更值得关注的变化是目标人群。所有与犯罪活动相关的企业设备感染，涉及的都是普通基层员工，而非高知名度高管。
泄露的iPhone漏洞正为罪犯打开新大门
这一转变很大程度上源于两套iOS漏洞利用工具包——Coruna和DarkSword。安全研究人员于2026年3月公开披露了它们。
谷歌威胁情报小组将Coruna认定为包含23个漏洞利用的集合，这些漏洞被组织成五条攻击链，针对iOS 13至iOS 17.2.1。2025年期间，研究人员观察到一家监控厂商的客户在使用它，随后一家疑似俄罗斯的间谍组织也利用它攻击乌克兰网站。
同一套工具包后来出现在中国一个以财务动机驱动的组织所发起的广泛攻击中。谷歌未能确定Coruna是如何在这些操作者之间流转的，但研究清楚表明，高复杂度的漏洞利用技术正在脱离最初使用者的范围而扩散。
DarkSword也经历了类似轨迹。谷歌、Lookout和iVerify的研究人员于3月18日披露了该漏洞利用链，此前已确认它被监控厂商和疑似国家支持的行为者使用。
这些数据仅反映iVerify用户的情况，并非全球iPhone用户整体情况。图片来源 iVerify
该工具包针对运行iOS 18.4至iOS 18.7的iPhone，通过利用六个漏洞来攻陷设备并窃取敏感信息。苹果随后通过安全更新修复了这些漏洞，谷歌确认全部六个漏洞已在iOS 26.3中被修补。
两套工具包最初都针对特定的较旧iOS版本，因此及时更新系统是重要的防御手段。报告中记录的攻击并未证明同样的漏洞利用链能够攻陷已完全更新的iPhone。
DarkSword代码的后续公开，让罪犯获得了开发自有变种的起点，而不必自行发现每一个漏洞。
iVerify此后已识别出经过修改的版本，这些版本能够额外收集密码、消息、照片以及加密货币钱包信息。
恶意广告无需点击就能感染存在漏洞的iPhone
iVerify报告中一个更有代表性的案例涉及一位普通人，他在上网浏览时遭遇了两次独立的DarkSword攻击。根据公司遥测数据，第一次攻击始于浏览Instagram时加载的一条恶意广告。
此人并未点击广告，但漏洞利用程序仍在存在漏洞的设备上启动运行。
后来，同一人点击一个链接后遭遇了第二次攻击。研究人员识别出与另一威胁行为者相关的不同DarkSword变种，不过两次攻击的目的似乎都是窃取加密货币。
这种技术被称为“半点击攻击”，因为恶意代码在广告加载时即可开始执行，无需受害者进行任何交互。
广告网络允许罪犯根据设备类型、iOS版本、位置和兴趣等细节精准缩小目标范围。攻击者可利用这些信息，专门向运行存在漏洞软件的iPhone投放漏洞利用。
这种方式将在线广告的广泛覆盖与针对特定漏洞的能力相结合。用户在浏览正规网站或刷社交媒体时，就可能遭遇攻击，而无需下载任何东西或访问可疑页面。
这种方式将在线广告的广泛覆盖与针对特定漏洞的能力相结合。图片来源 iVerify
罪犯还通过被废弃的追踪脚本劫持合法网站。10月，研究人员发现一起活动，攻击者利用一个已过期的分析域名，将数千家在线商店的访客重定向到分发DarkSword和Coruna的恶意服务器。
受害者无需访问欺诈性店铺，因为恶意代码早已嵌入在原本合法的网站中。
App Store防护并非完全免疫
报告还重点提及了FomoPeek，这是一款加密货币监控应用，其9月通过苹果App Store分发的版本中携带了隐藏的漏洞利用工具包。SlowMist和OKX的安全研究人员在1.1和1.2版本中发现了恶意组件。
该工具包能够利用iOS漏洞、逃出应用沙盒，并访问属于其他应用的数据。
受影响版本分别于9月9日和9月12日上架，随后在9月17日的更新中移除了恶意组件。SlowMist的调查追溯到与此次行动相关的加密货币地址，约有58万美元的USDT被盗。
研究人员在受控环境中确认了该工具包收集应用数据的能力，包括来自苹果备忘录的信息。但他们的发现并未证明每一个受支持的漏洞利用都成功，也未证明每一个被针对的加密货币钱包都被攻陷。
FomoPeek只是一个已记录的案例，而非App Store被大规模利用的证据。不过，它表明苹果的审核流程无法保证每一款获批应用都完全不含恶意代码。
苹果威胁通知无法覆盖每一次攻击
检测成功攻陷的难度还在于，较新的间谍软件变种能够在安全研究人员有机会调查之前擦除证据。DarkSword可以收集已存储的凭据和其他信息，而无需维持持久感染。
较新变种还会额外清除日志和工作文件，使恶意软件运行结束后更难还原攻击过程。
一台被攻陷的工作用iPhone可能暴露企业邮箱、消息平台及其他服务的凭据。罪犯随后可利用这些凭据访问受感染设备之外的账户。
该工具包能够利用iOS漏洞、逃出应用沙盒，并访问属于其他应用的数据。图片来源 iVerify
iVerify报告称，其确认感染了DarkSword或Coruna的设备，均未收到苹果的威胁通知。
不过，苹果的预警系统目的更为狭窄。公司表示，其通知是为那些被认为被雇佣间谍软件单独针对的人员设计的，通常基于其身份或活动。
因此，没有收到警告并不能说明苹果的系统在其预期目的上失败了，用户也不应将沉默解读为自己的设备未被攻陷的证明。
报告警告称，人工智能正在加速漏洞利用的开发，尽管iVerify的测试发现其有效性存在限制。研究人员检查了疑似由AI辅助将DarkSword适配到更新iOS版本的尝试，但没有任何一次成功利用了被测试的设备。
保持iOS更新仍是抵御这些攻击最有效的防御之一，因为安全补丁会关闭罪犯持续利用的漏洞。从可信来源安装应用也能降低接触其他形式恶意软件的风险。
iVerify建议将移动安全监控扩展到高管以外的员工，尤其是当员工使用个人手机办公时。该公司销售移动检测产品，因此在推荐持续监控方面存在商业利益。
这些发现并不意味着每一台iPhone都能被无声攻陷。它们展示了罪犯如何将复杂的漏洞利用重新用于存在漏洞的设备，使普通用户与传统监控目标一样面临风险。
如何保护你的iPhone免受间谍软件侵害
保持iPhone更新是抵御iVerify所记录漏洞利用链最有效的防御。打开“设置”，选择“通用”，然后进入“软件更新”检查可用补丁。
你也可以在“自动更新”下启用自动安装，让iPhone无需手动检查即可接收未来修复。
只从可信来源下载应用，并在安装不熟悉的软件前检查开发者。苹果App Store提供安全保护，但FomoPeek事件表明，获批应用并非自动安全。
使用强且唯一的密码以及双重认证也有助于保护账户，不过如果设备本身已被攻陷，这些措施都无法保证绝对安全。
担心复杂针对性间谍软件的用户可考虑“锁定模式”，该模式会限制某些应用、网站和功能，以减少潜在攻击路径。苹果设计该功能是为面临异常严重监控威胁的人士准备的，大多数iPhone用户无需启用。
