In maart 2026 heeft de Google Threat Intelligence Group (GTIG) Coruna blootgelegd, een exploitkit ontworpen voor iOS. Deze kit omvat vijf exploit chains en 23 individuele exploits, met de mogelijkheid om iOS-versies 13.0 tot en met 17.2.1 te targeten.

Coruna maakte gebruik van een JavaScript fingerprinting module om eerst de authenticiteit van een bezoeker te verifiëren, het iPhone-model te identificeren en de iOS-versie vast te stellen. Vervolgens werd een geschikte exploit geactiveerd. Bezoekers die als potentieel doelwit werden geselecteerd, waren expliciet geen onderzoekers, scanners, apparaten in Lockdown Mode of sessies die privé browsen gebruikten. De selectiviteit van Coruna was extreem; een verkeerd toegepaste exploit kon Safari doen crashen, en een keten die aan een onderzoeker werd geleverd, kon reeds gepatcht zijn. Het gebruik van een verborgen iframe om de OS-versie te controleren en een versie-specifiek script aan te roepen, wordt als verdacht beschouwd, zelfs voordat de eigenlijke exploit wordt opgehaald.

In juni 2026 beschreef Check Point Research valse downloadwebsites voor open-source software. Deze sites maakten gebruik van een staging script van Amazon CloudFront, dat kliks doorstuurde naar een Traffic Direction System (TDS). De TDS-scripts waren sinds december 2025 actief, en de verspreiding van malware via deze scripts begon in januari 2026. Een studie uit 2008 van USENIX Security toonde aan dat bezoekers in de helft van de gevallen van malwarelevering via advertenties meer dan zes redirects doorliepen alvorens de uiteindelijke payload te bereiken.

ADEX heeft advertentiecampagnes geïdentificeerd die een vergelijkbare "kwalificeer-eerst" logica toepasten als bij Coruna. Ongeveer 50 adverteerdersaccounts waren gekoppeld aan campagnes met deze opzet achter landingspagina's die qua inhoud sterk verschilden. De onderliggende keten in deze campagnes was echter identiek: een verborgen iframe controleerde de OS-versie, een orchestrator filterde bots en crawlers, controleerde het IP-adres en serveerde vervolgens een script voor de specifieke iOS-versie als een .min.js bestand. Deze specifieke leveringsmethode was de verbindende factor tussen de adverteerdersaccounts, ondanks de variaties in thema's, merken, sectoren en advertentieformats. In één specifiek geval van ADEX eindigde de advertentie op een Google zoekpagina, waarbij de volgende stap pas na een klik op het eerste zoekresultaat plaatsvond, buiten het directe klikpad van de oorspronkelijke advertentie.

De opzet voor cloaking kan weken in beslag nemen om te worden opgebouwd, terwijl een landingspagina slechts een dag nodig heeft. Dit leidt ertoe dat adverteerders de opzet hergebruiken en de landingspagina's frequenter vernieuwen.

Het ADEX Trust & Safety review, gebaseerd op moderatiedata van acht advertentieplatforms van januari tot september 2026, toont een verschuiving in schaal. Kwaadaardige iOS-scripts vertegenwoordigden in het derde kwartaal van 2026 ongeveer 20% van de afgewezen campagnes. De cijfers uit het "State of Ad Fraud 2026: Trust & Safety Report" beschrijven de samenstelling van afgewezen of opgeschorte campagnes binnen de geanalyseerde dataset, niet de algemene prevalentie in de gehele industrie.

Cloaking blijft de meest voorkomende reden voor opschorting, naast apparaat-specifieke scripts en messenger phishing. Kunstmatige intelligentie versnelt de herstelcyclus van afgewezen campagnes, die binnen enkele uren opnieuw kunnen verschijnen, terwijl de leveringsinfrastructuur langzamer verandert. Het detecteren van eindpunten blijft noodzakelijk, maar start bij de laatste stap van de keten en behandelt incidenten afzonderlijk. Het identificeren van de aanbrengmethode ("hoe de bezoeker arriveerde") kan adverteerders eerder aan het licht brengen en anders ongerelateerde incidenten met elkaar verbinden.