CertiK hat gewarnt, dass Angreifer eine neuere Version des DarkSword-iOS-Exploit-Kits einsetzen, um auf nicht gepatchten iPhones auf Krypto-Wallets abzuzielen, wobei eine bösartige Safari-Seite möglicherweise ausreicht, um ein Gerät zu kompromittieren.
Zusammenfassung
- Sechs Schwachstellen bilden die Grundlage der von Google dokumentierten DarkSword-Kette für iOS 18.4 bis 18.7.
- P7 DarkSword unterstützt Wallet-Scans, die Erfassung von Anmeldedaten und Fernbefehle auf kompromittierten Telefonen.
- Forscher haben beobachtet, wie bösartige Werbeanzeigen die Malware auslieferten, während Nutzer durch ihre Instagram-Feeds scrollten.
- CertiK empfiehlt, iOS zu aktualisieren und exponierte Gelder auf eine Wallet mit einer neuen Wiederherstellungsphrase zu verschieben.
CertiK erklärte in einer Warnung vom 6. November, dass der Angriff nicht erfordert, dass Nutzer eine Wallet verbinden oder eine Transaktion genehmigen. In seinem Thread nannte das Unternehmen MetaMask, Trust Wallet, Phantom, Exodus und Coinbase unter den angeblich angegriffenen Anwendungen, zusammen mit Passwörtern und Wiederherstellungsphrasen, die an anderer Stelle auf dem Telefon gespeichert sind.
„Allein das Öffnen einer bösartigen Website in Safari kann ausreichen: keine Wallet-Verbindung, keine Signatur erforderlich“, schrieb das Sicherheitsunternehmen.
Die Warnung folgt auf separate Untersuchungen der ursprünglichen Exploit-Kette von DarkSword, einer im Oktober offengelegten aktualisierten Spyware-Variante und der Werbeinfrastruktur, die zu ihrer Verbreitung genutzt wurde.
DarkSword nutzt sechs Schwachstellen, um anfällige iPhones zu kompromittieren
Die Forschung der Google Threat Intelligence Group vom 18. März dokumentierte eine Kette, die iOS 18.4 bis 18.7 unterstützt. Durch die Kombination von sechs Schwachstellen konnten Angreifer Geräte kompromittieren und Software installieren, die sensible Informationen sammelte.
Google identifizierte drei Malware-Familien, die nach erfolgreicher Ausnutzung ausgeliefert wurden: GHOSTBLADE, GHOSTKNIFE und GHOSTSABER. Ihre Fähigkeiten unterschieden sich, wobei einige Fernbefehle unterstützten und andere Daten sammelten, ohne kontinuierlich zu arbeiten.
Zu den von GHOSTBLADE gesammelten Informationen gehörten Kryptowährungs-Wallet-Daten, Geräteschlüsselbunde, Messaging-Aufzeichnungen, Browserinformationen, Notes-Datenbanken und persönliche Medien. Google beobachtete Kampagnen gegen Personen in Saudi-Arabien, der Türkei, Malaysia und der Ukraine, an denen kommerzielle Überwachungsanbieter und mutmaßlich staatlich unterstützte Akteure beteiligt waren.
Die Aktivität reichte mindestens bis November 2025 zurück. Google gab an, die Schwachstellen Ende jenes Jahres an Apple gemeldet zu haben und dass alle mit der Veröffentlichung von iOS 26.3 gepatcht worden seien, wobei die meisten früher behoben wurden.
Seine Ergebnisse beschrieben Angriffe gegen anfällige Betriebssysteme und nicht die Notwendigkeit, dass Opfer den Zugriff über eine Krypto-Anwendung autorisieren.
P7 DarkSword gibt Angreifern Fernkontrolle über die Datenerfassung
Das Mobile-Sicherheitsunternehmen iVerify legte die P7-Variante in einem Bericht vom 8. Oktober offen, nach einer Untersuchung einer im August auf dem Gerät eines Kunden entdeckten Infektion.
Forscher stellten Spyware mit Änderungen wieder her, die darauf abzielten, ihren Fußabdruck zu verringern, die Stabilität zu verbessern und eine Zwei-Wege-Kommunikation mit der von Angreifern kontrollierten Infrastruktur zu unterstützen. P7 entfernte einige Protokollierungen, reduzierte Prozessinjektionen und nutzte Browserspeicher, um wiederholte Ausnutzung zu verhindern.
Seine Befehlsliste enthielt eine Funktion zur Identifizierung installierter Wallet-Anwendungen und eine weitere zum Extrahieren wallet-bezogener Daten aus imToken. Andere Befehle sammelten Apple-Notes-Datenbanken, Fotos, Anwendungsdateien und Geräteinformationen.
Das Implantat fragte standardmäßig alle 15 Sekunden seinen Server nach Anweisungen ab, obwohl Betreiber dieses Intervall ändern konnten. Die Zahl beschreibt, wie oft es Befehle anforderte, nicht einen festen Zeitplan für das Stehlen von Geldern oder das Extrahieren von Wallet-Inhalten.
Im Vergleich zu früheren Versionen, die eine Schlüsselbund-Datenbank zur Verarbeitung versendeten, verarbeitete P7 Schlüsselbundinformationen laut iVerify auf dem Telefon vor der Übertragung.
Bösartige Anzeigen haben DarkSword ohne einen Link-Klick ausgeliefert
Eine Untersuchung von iVerify und Report URI vom 21. Oktober dokumentierte die Auslieferung über bösartige Werbeanzeigen und aufgegebene Website-Integrationen.
In einem Fall infizierte eine Instagram-Werbung mit WM-Motto das Gerät eines Mitarbeiters, während die Person durch ihren Feed scrollte. Eine separate Gruppe griff denselben Mitarbeiter anschließend über einen schädlichen Link an, der eine weitere DarkSword-Variante enthielt.
Report URI verfolgte eine Kampagne namens DeadTag bis zu abgelaufenen Domains, die zuvor von Analyse- und Werbediensten genutzt wurden. Angreifer kauften die Domains und nutzten Integrationen, die noch in Websites eingebettet waren, um Besucher umzuleiten.
Die Forscher identifizierten Hunderte neu registrierte Domains, die in Tausende von Websites eingebettet waren. Ihr beobachtetes Netzwerk erhielt 135 Millionen monatliche Besuche, eine Verkehrsschätzung, die Websites abdeckt, die in der Lage sind, die Exploits auszuliefern, wenn Besucher die Bedingungen der Angreifer erfüllen.
Die Untersuchung umfasste eine gefälschte Polymarket-Seite, die sowohl Coruna als auch P7 DarkSword auslieferte. Der Bericht beschrieb eine automatische Infektion, wenn schädlicher Inhalt auf einem anfälligen Gerät geladen wurde.
CertiK fordert Nutzer auf, offengelegte Wiederherstellungsphrasen zu ersetzen
CertiK riet iPhone-Nutzern, verfügbare Updates über Einstellungen, Allgemein und Softwareupdate zu installieren, unbekannte Links zu vermeiden und Seed-Phrasen aus Fotos, Notizen und Screenshots herauszuhalten.
Zu seinen Empfehlungen gehörten Hardware-Wallets für bedeutende Bestände und der Sperrmodus für Nutzer mit höherem Risiko. Google empfahl den Sperrmodus, wo ein Update nicht möglich war.
Bei vermuteter Kompromittierung wies CertiK Nutzer an, Gelder auf eine neue Wallet zu verschieben, die auf einem sauberen, aktualisierten Gerät erstellt wurde, und die alte Seed-Phrase niemals wiederzuverwenden.
Separat empfahl iVerify, Passwörter zu ändern, die im Schlüsselbund des betroffenen Telefons gespeichert sind.
