Eine ausgeklügelte Phishing-Operation zielt auf Personen ab, deren iPhones verloren gegangen oder gestohlen wurden, und nutzt automatisierte E-Mails, Nachrichten und KI-generierte Telefonate, um die notwendigen Zugangsdaten zum Entsperren der Geräte zu erhalten.
Researchers at SOCRadar bezeichnete die Plattform als AnonyMousKIT und beschrieb sie als Phishing-as-a-Service-Operation, die speziell zur Automatisierung von Angriffen über mehrere Kommunikationskanäle entwickelt wurde. Anstatt sich auf eine einzelne Phishing-Nachricht zu verlassen, können Kunden des Dienstes das gleiche Opfer wiederholt über E-Mail, SMS, WhatsApp, voraufgezeichnete Anrufe und konversationelle KI-Sprachagenten ansprechen.
Das Ziel ist es, einen iPhone-Passcode, einen Zwei-Faktor-Authentifizierungscode oder andere Informationen zu erhalten, die Kriminellen helfen könnten, Apples Sicherheitsvorkehrungen zu umgehen und ein gestohlenes Gerät leichter weiterverkaufen zu lassen.
Angreifer erstellen zunächst ein Profil des gestohlenen Telefons, indem sie Informationen wie Modell, zugehörige Telefonnummer und den Status “Mein suchen” verwenden. Diese Details können dann in personalisierte Nachrichten integriert werden, die den Ansatz überzeugender machen.
Einige der von den Forschern untersuchten Phishing-Nachrichten behaupteten, ein vermisstes iPhone sei gefunden worden. Eine E-Mail teilte dem Empfänger mit, dass ein iPhone 15 Plus in der Nähe eines anderen Apple-Geräts in Johannesburg entdeckt worden sei und einen Button enthielt, der dem Besitzer angeblich erlaubte, seinen Standort einzusehen. Eine weitere Nachricht behauptete, ein verlorenes iPhone 14 sei online gefunden worden.
Der Betrieb geht über schriftliche Nachrichten hinaus. SOCRadar stellte Aufzeichnungen her, die zeigten, dass kommerzielle konversationelle KI-Technologie verwendet wurde, um automatisierte Anrufe zu tätigen, während sie sich als Apple-Support-Mitarbeiter ausgaben.
Eine KI-Persona namens “Alice” war so konfiguriert, dass sie den Opfern mitteilte, dass jemand versucht hatte, das Activation Lock von ihrem Gerät zu entfernen. Der Agent konnte dann nach dem vier- oder sechsstelligen Passcode des Telefons fragen, einen 2FA-Code anfordern und das Ziel auf eine Phishing-Website weiterleiten.
Die Forscher stellten etwa 200 KI-Anrufaufzeichnungen, fünf KI-Personas und 55 Gesprächstranskripte zurück. Etwa 90 % der wiederhergestellten Anrufe richteten sich auf brasilianische Nummern. Tausende von WhatsApp-Versuchen wurden ebenfalls identifiziert, während die Forscher 691 E-Mail-Versuche in Verbindung mit AnonyMousKIT und mehr als 6.000 in verwandten Versionen der Plattform zählten.
Die Infrastruktur ähnelt eher einem kommerziellen Softwaredienst als einer einfachen Sammlung von Phishing-Seiten. Betreiber können Credits erwerben und Kampagnen über ein Dashboard verwalten, das Informationen zu Bestellungen, Salden, Links, blockierten Versuchen und erfolgreichen Angriffen enthält.
SOCRadar erklärte, dass ein Entwicklungsfehler erhebliche Teile des Backends freigelegt habe, was den Forschern einen ungewöhnlichen Einblick in die Infrastruktur verschaffte. Ihre Untersuchung identifizierte 30 Backend-Installationen in 42 Domänen, die denselben zugrundeliegenden Code teilen.
Die Ergebnisse deuten außerdem darauf hin, dass AnonyMousKIT eine breitere kriminelle Lieferkette unterstützt, die Entwickler, Verkäufer, Kunden, Ladenbetreiber und zahlreiche WhatsApp-Konten umfasst.
Besitzer gestohlener iPhones sollten besonders vorsichtig bei unerwarteten Anrufen oder Nachrichten sein, in denen behauptet wird, ihr Gerät sei wiederhergestellt worden. Eine Nachricht mit korrekten Informationen über das fehlende Telefon beweist nicht, dass der Absender Apple repräsentiert.
Apple rät den Nutzern, niemals ihren Gerätecode, ihr Kontopasswort oder ihre Verifizierungscodes mit jemand anderem zu teilen, und warnt, dass die Nutzer nicht kontaktiert werden, um zu melden, dass ein verlorenes iPhone gefunden wurde.