Cybersecurity-onderzoekers hebben details onthuld van een phishing-as-a-service (PhaaS)-platform dat is gebouwd om het activeringsslot van Apple van gestolen apparaten te verwijderen, met behulp van gehuurde AI-stemagenten die slachtoffers van diefstal bellen die zich voordoen als Apple Support en om de toegangscode van hun apparaat vragen.
SOCRadar Threat Research Unit (STRU) zei dat het platform, dat het volgt als AnoniemMousKITwordt op krediet gemeten en stuurt kunstaas over vijf kanalen vanuit één slachtofferrecord, bestaande uit e-mail voor 1,50 credits, sms-prijzen per afzender-ID, WhatsApp, een opgenomen spraakoproep voor 1 credit en een AI-stemagent voor 2 credits.
De doelwitten zijn eigenaren van Apple-apparaten die onlangs zijn verloren of gestolen, en de pagina’s en oproepen vragen elk van hen om de 4- of 6-cijferige toegangscode van het apparaat, vervolgens de Apple ID-gegevens en ten slotte een live tweefactorauthenticatiecode (2FA). Apple’s eigen richtlijnen stellen dat het bedrijf nooit om een wachtwoord, apparaattoegangscode of 2FA-code vraagt om ondersteuning te bieden.
“AnonyMousKIT kan het beste niet worden opgevat als een phishing-kit, maar als een klein softwarebedrijf met een crimineel klantenbestand. Het biedt kredietbundels, gepubliceerde prijzen, gelaagde abonnementen, klantenondersteuning, statustracking en protocollen voor vervanging van de infrastructuur”, aldus SOCRadar in een rapport van maandag.
Activation Lock, geïntroduceerd in iOS 7, koppelt de hardware aan een specifieke Apple ID en maakt een gestolen handset onbruikbaar totdat het account van de eigenaar wordt verwijderd.
Lures noemt de interne Apple-modelidentificatie van het toestel en de live Zoek mijn-status, beide afkomstig van het gestolen apparaat zelf. Slachtoffers die de link volgen, komen op een opnamepagina van het Apple-merk die een geanimeerde kaart weergeeft van de gerapporteerde locatie van het toestel.
Het AI-spraakkanaal is na e-mail de best gedocumenteerde vector, met 200 oproeprecords, 55 transcripties en vijf geconfigureerde persona’s die zijn hersteld van het account van de operator bij het commerciële spraakplatform Vapi.
In het rapport van de onderzoekers staat niet of het account aan Vapi is gerapporteerd, en geen van beide bedrijven heeft publiekelijk gezegd of het nog steeds actief is. Alle vijf de persona’s dragen dezelfde vertaalde identiteit, Alice van Apple Support, in het Engels, Spaans en Portugees.
De oproepen vonden plaats tussen 31 augustus 2025 en 30 mei 2026, en 179 van de 200 gingen naar nummers in Brazilië. In het teruggevonden transcript vraagt de agent het slachtoffer om de eigendom te bevestigen, vraagt vervolgens om de vier- of zescijferige toegangscode en leest de cijfers terug ter bevestiging.
Vervolgens wordt uitgelegd dat iemand een Apple Store heeft bezocht om het activeringsslot te verwijderen en wordt gevraagd of er via sms een herstellink is binnengekomen. De onderzoekers schatten de totale kosten van de 200 oproepen op $ 19,24, of ongeveer 9,6 cent per stuk.
De resultatentabel in het rapport wijst alle 200 oproepen toe aan een van de vier resultaten, waaronder 100 slachtoffers die hebben opgehangen, 48 time-outs voor stilte, 24 geen antwoorden en 28 platformfouten of bezetsignalen. Voor geen van de vijf kanalen wordt in het rapport een telling van vastgelegde toegangscodes, Apple ID’s of 2FA-codes weergegeven.
De logs bereikten SOCRadar via twee kale relatieve bestandspaden in de gedeelde codebase die naar de webroot leiden en niet-geverifieerde HTTP-toegang mogelijk maken. Elke implementatie van die codebase erft de fout.
Een scan van 506 kit-familiedomeinen identificeerde 30 verschillende installaties die bereikbaar waren op 42 domeinen, waarbij 188 van de 506 live waren.
De AnonyMousKIT-installatie registreerde tussen maart en juli 2026 691 verzendpogingen, vergeleken met 6.092 in de 30 backends.
Drie winkelpuien, i-Blocker, Key Unlock en KG-KING, werden op dezelfde seconde gelanceerd op 10 april 2026 en deelden dezelfde Gmail-relay-accounts. SOCRadar beoordeelde dat patroon als één koper die drie merken runt in plaats van drie afzonderlijke klanten.
De onderzoekers registreerden de volgende kenmerken van de e-maillokmiddelen:
- De bovenste twee onderwerpregels waren ‘Uw apparaat is gevonden’ (308 van 691) en ‘Waarschuwing’ (157)
- Weergavenamen vervalst Apple, Zoek mijn, Apple Support en Apple Assistance
- 627 van de geregistreerde berichten zijn doorgegeven via één gratis Gmail-account, noreplyapple00000(@)gmail(.)com, tegenover 20 en 2 voor de twee andere relay-accounts
- 678 van de 691 kunstaas hadden een locatiefiche met de naam van een stad, waaronder Johannesburg, Abuja, Buenos Aires, Maputo en Mumbai
- Op slachtoffers gerichte opnamepagina’s werden aangeboden via tokenized /help?TOKEN URL’s
Zuid-Afrika is verantwoordelijk voor 1.735 van de 6.092 familiebrede verzendingen, en 64 van AnonyMousKIT’s eigen 691 verzendingen bereikten niet-consumentendomeinen, waaronder 27 naar Zuid-Afrikaanse overheidsadressen. SOCRadar zei dat deze ontvangers werden geselecteerd omdat hun apparaten waren gestolen, niet vanwege hun rol.
Volgens het rapport dienen de vier ontgrendelingstools die op het paneel worden aangeboden als lokaas, omdat 5.649 van de 6.092 beoogde apparaten, oftewel 92,7%, A12-silicium of nieuwer gebruiken.
De checkm8 bootrom-exploit bereikt alleen A5 tot en met A11-chips. Er wordt ook gesteld dat technische bypasses achterhaald zijn nu Apple de checkm8-generatie voorbij is. Een openbare bootrom-exploit voor A12 en A13 werd uitgebracht op 18 juni 2026, twee maanden vóór het rapport, en de proof of concept ervan blijft live.
De auteurs beschrijven het als een tethered bootrom-exploit die fysiek bezit en een apparaatfirmware-update (DFU)-modus vereist, en het onderzoek toont geen Secure Enclave-compromis aan. Het controlehulpmiddel degradeert het apparaat naar de productiemodus of start een onbewerkte iBoot-image op, en geen van beide acties herstelt de toegangscode van het apparaat of verwijdert het activeringsslot.
SOCRadar beschreef de geautomatiseerde, LLM-aangedreven stemvector als de belangrijkste innovatie van het platform.
In maart analyseerde Mirage Security een visservice met abonnement waarin commerciële tekst-naar-spraak als kernfunctie was ingebouwd, en The Hacker News rapporteerde in mei over een eerdere AI-visingkit.
Infoblox Threat Intel documenteerde in mei hetzelfde unlock-kit-ecosysteem met behulp van DNS-telemetrie en publiceerde een lijst van 4.244 kwaadaardige domeinen die tussen maart 2022 en mei 2026 waren gedetecteerd.
“Door technische tools en social engineering te combineren, hebben dieven nu een manier om apparaten op grote schaal te ontgrendelen en telefoondiefstal winstgevend te maken”, aldus Infoblox Threat Intel-onderzoekers Maël Le Touz en Elena Puga.
Identieke labels op het tweede niveau in verschillende topniveaudomeinen zijn eerder een patroonovereenkomst dan een toeschrijving aan een enkele operator.
“Apple zal je nooit vragen om in te loggen op welke website dan ook, of op Accepteren te tikken in het tweefactorauthenticatiedialoogvenster, of om je wachtwoord, toegangscode voor het apparaat of tweefactorauthenticatiecode op te geven of deze in te voeren op een website”, aldus Apple in ondersteunende documentatie die op 15 juni 2026 werd gepubliceerd.
Apple vraagt gebruikers om phishing-e-mails en -sms-berichten van Apple door te sturen naar [email protected].
De onderzoekers adviseerden om hoogwaardige Apple ID’s te verplaatsen naar fysieke hardwarebeveiligingssleutels, wat volgens hen de real-time 2FA-onderschepping, het uiteindelijke doel van de trechter, volledig verzacht.
The Hacker News nam contact op met Apple voor commentaar op het onderzoek; het bedrijf had op het moment van publicatie nog niet gereageerd.
De ontwikkeling komt op het moment dat de Duitse en Amerikaanse wetshandhavingsinstanties Kratos in juli ontmantelden, meer dan 200 servers offline haalden, en de Indonesische autoriteiten de man arresteerden die volgens hen het bedrijf had ontwikkeld en beheerde.
“Het platform draaide nog steeds op de laatste dag van onze analyse. SOCRadar blijft het volgen, de winkelpuien van zijn broers en de bredere familie met gedeelde codebases, en zal materiële veranderingen rapporteren”, aldus het bedrijf.
