iPhone-Angriffe über Werbung: Coruna-Code erreicht mindestens zwölf Websites

Über kompromittierte Werbesysteme ist Schadcode auf zahlreiche reichweitenstarke niederländische Websites gelangt, der ohne Zutun der Nutzer versuchte, Sicherheitslücken auf iPhones auszunutzen. Betroffen waren unter anderem Angebote wie VI.nl, Bright.nl, Autoblog und GeenStijl, wie Fachmedien am 15. November 2026 berichteten. Bei der eingesetzten Schadsoftware handelte es sich um das Exploitkit „Coruna“.

Nach Angaben des Online-Portals VI.nl hatte ein unbefugter Dritter einen Werbe-Tag im Anzeigen-Managementsystem manipuliert. Für eine Infektion war keine Interaktion erforderlich: Besucher mussten keine Werbebanner anklicken, um die Ausführung des Codes auf ihren Endgeräten auszulösen.

Kompromittierung des Werbedienstleisters

Nach Informationen des Werbenetzwerks PXR NextDay erfolgten die unbefugten Zugriffe in drei zeitlichen Abschnitten: Zunächst zwischen dem 1. November gegen 09.50 Uhr und dem 3. November um 10.07 Uhr niederländischer Zeit, wobei der spezifische iPhone-Code ab dem 1. November gegen 14.44 Uhr aktiv war. Ein weiteres Zeitfenster lag am 3. November zwischen etwa 12.06 Uhr und 17.20 Uhr.

Ein dritter unbefugter Zugriff ereignete sich am 11. November zwischen rund 15.34 Uhr und 15.50 Uhr; der genaue Inhalt dieses Zugriffs wurde bisher nicht festgestellt. PXR NextDay liefert nach eigenen Angaben Werbung an etwa 150 Websites mit monatlich rund 12 Millionen eindeutigen Besuchern sowie rund 800 Millionen Ad-Impressions aus.

Mindestens zwölf niederländische Websites warnten in der Folge ihre Nutzer, darunter VI, VoetbalPrimeur, VoetbalNieuws, Bright, Scientias, Autoblog, Men's Health, Women's Health, Runner's World, Bicycling, GeenStijl und Autoreview.nl. Auch das Portal De Dagelijkse Standaard nutzt das Anzeigensystem von NextDay Advertising; ob Besucher der Plattform tatsächlich kompromittiert wurden, stand zunächst noch nicht fest.

Wer sich mit der Sicherheit seines mobilen Geräts befasst, sollte auch die grundlegende Bedienung und die integrierten Schutzfunktionen genau kennen. Dieser kostenlose Ratgeber hilft besonders Einsteigern, ihr Gerät von Anfang an sicher und souverän zu bedienen. Kostenlosen Starter-Ratgeber für Ihr Gerät herunterladen

Datendiebstahl und Gerätezielgruppe

Nach Angaben betroffener Portale wie VI.nl, Bright.nl, VoetbalNieuws.nl, GeenStijl.nl und De Dagelijkse Standaard erfasste der Code Metadaten wie IP-Adressen, aufgerufene Seiten, verweisende Adressen, Bildschirmabmessungen, Spracheinstellungen sowie Betriebssystem-Informationen und leitete diese an einen Server der Angreifer weiter.

Der verwendete Browser spielte bei der Attacke keine Rolle. Bei Geräten mit Android, auf iPads sowie auf klassischen Computern wurden keine vergleichbaren Übergriffe auf das System registriert, wenngleich technische Basisdaten erfasst worden sein könnten.

Im Fall einer erfolgreichen Infektion eines iPhones bestand nach Angaben von VI.nl jedoch die Gefahr eines umfassenden Zugriffs auf vertrauliche Informationen, darunter Passwörter, Zugangsdaten für Anwendungen, Schlüssel von Krypto-Wallets, Textnachrichten, Bilddateien und Kontaktlisten. Google hatte bereits Anfang 2026 vor den Exploitkits „Coruna“ und „DarkSword“ gewarnt.

Die Fachsprache rund um moderne Smartphones kann oft verwirrend sein, ist aber entscheidend, um Sicherheitswarnungen und Funktionen richtig zu verstehen. Ein neues Gratis-Lexikon erklärt die wichtigsten Begriffe verständlich und hilft dabei, Technik-Hürden im Alltag abzubauen. Die 53 wichtigsten Begriffe jetzt kostenlos als PDF sichern

Schließung der Schwachstellen

GeenStijl.nl hatte die Einblendung der Anzeigen bereits am 3. November gestoppt. Am 11. November wurden die Sicherheitslücke geschlossen, der bösartige Code entfernt und die unbefugt angelegten Benutzerkonten gelöscht. Auch Scientias.nl und VI.nl meldeten die Beseitigung des Schadcodes und die Behebung des Fehlers im Anzeigensystem.

Ob tatsächlich private Daten entwendet wurden, ist laut VI.nl bisher unbestätigt, die entsprechenden Untersuchungen dauern an. Besucher, die VI.nl im Zeitraum vom 1. bis 3. November sowie am 11. November 2026 aufgerufen haben, wurden aufgerufen, empfohlene Schutzmaßnahmen anhand eines bereitgestellten Stufenplans durchzuführen.