Эксплойт-кит Coruna для iPhone попал через рекламный тег минимум на двенадцать сайтов Нидерландов

Вредоносный код, доставленный через скомпрометированные рекламные системы, попал на множество популярных нидерландских сайтов и без участия пользователей пытался использовать уязвимости на iPhone, сообщает ad-hoc-news.de со ссылкой на профильные издания от 15 ноября 2026 года. Среди затронутых ресурсов — VI.nl, Bright.nl, Autoblog и GeenStijl. Использовался набор эксплойтов Coruna. ad-hoc-news.dead-hoc-news.dead-hoc-news.deОткрыть источник ↗

По данным VI.nl, неуполномоченное третье лицо изменило рекламный тег в системе управления объявлениями. Взаимодействие не требовалось: посетителям не нужно было нажимать на баннеры, чтобы код выполнился на их устройствах.

Хронология несанкционированного доступа

По информации рекламной сети PXR NextDay, несанкционированный доступ происходил в три периода. Первый длился с 1 по 3 ноября по нидерландскому времени, а код, нацеленный на iPhone, был активен с 1 ноября. Второе окно пришлось на 3 ноября. Третье — короткий интервал 11 ноября; его содержание пока не установлено.

PXR NextDay, по её словам, показывает рекламу примерно на 150 сайтах с аудиторией около 12 млн уникальных посетителей в месяц и около 800 млн показов объявлений. Не менее двенадцати нидерландских сайтов предупредили пользователей, среди них VI, VoetbalPrimeur, VoetbalNieuws, Bright, Scientias, Autoblog, Men's Health, Women's Health, Runner's World, Bicycling, GeenStijl и Autoreview.nl. Портал De Dagelijkse Standaard также использует систему NextDay Advertising; были ли его посетители действительно затронуты, сначала не было ясно. ad-hoc-news.dead-hoc-news.dead-hoc-news.deОткрыть источник ↗

Какие данные были под угрозой и что исправлено

Затронутые порталы, включая VI.nl, Bright.nl, VoetbalNieuws.nl, GeenStijl.nl и De Dagelijkse Standaard, сообщили, что код собирал метаданные и передавал их на сервер злоумышленников: IP-адреса, просмотренные страницы, адреса источников перехода, размеры экрана, языковые настройки и сведения об операционной системе. Используемый браузер значения не имел. На устройствах с Android, на iPad и на обычных компьютерах сопоставимых атак на систему не зафиксировано, хотя базовые технические данные могли быть собраны.

При успешном заражении iPhone, по данным VI.nl, существовал риск широкого доступа к конфиденциальной информации: паролям, учётным данным приложений, ключам криптокошельков, текстовым сообщениям, файлам изображений и спискам контактов. Google предупреждала о наборах эксплойтов Coruna и DarkSword ещё в начале 2026 года.

GeenStijl.nl прекратил показ рекламы 3 ноября. 11 ноября уязвимость закрыли, вредоносный код удалили, а несанкционированно созданные учётные записи стёрли. Scientias.nl и VI.nl также сообщили об удалении кода и устранении ошибки в рекламной системе. По данным VI.nl, были ли украдены личные данные, пока не подтверждено, расследование продолжается. Посетителей, открывавших VI.nl с 1 по 3 ноября и 11 ноября 2026 года, призвали выполнить меры защиты по размещённому на сайте поэтапному плану. ad-hoc-news.dead-hoc-news.dead-hoc-news.deОткрыть источник ↗