CertiK ostrzegł, że atakujący wykorzystują nowszą wersję zestawu exploitów DarkSword dla iOS do atakowania portfeli kryptowalutowych na niezaktualizowanych iPhone'ach, a złośliwa strona Safari może wystarczyć do przejęcia urządzenia.
Podsumowanie
- Sześć podatności stanowi podstawę łańcucha DarkSword udokumentowanego przez Google dla iOS 18.4 do 18.7.
- P7 DarkSword obsługuje skanowanie portfeli, zbieranie danych uwierzytelniających i zdalne polecenia na przejętych telefonach.
- Badacze zaobserwowali złośliwe reklamy dostarczające malware, gdy użytkownicy przeglądają swoje kanały na Instagramie.
- CertiK zaleca aktualizację iOS i przeniesienie ujawnionych środków do portfela z nową frazą odzyskiwania.
CertiK w ostrzeżeniu z 6 listopada podał, że atak nie wymaga od użytkowników podłączenia portfela ani zatwierdzenia transakcji. W swoim wątku wymienił MetaMask, Trust Wallet, Phantom, Exodus i Coinbase wśród aplikacji rzekomo będących celem ataku, obok haseł i fraz odzyskiwania przechowywanych w innych miejscach na telefonie.
„Samo otwarcie złośliwej strony w Safari może wystarczyć: żadnego połączenia z portfelem, żadnego podpisu nie trzeba” – napisała firma zajmująca się bezpieczeństwem.
Ostrzeżenie następuje po odrębnych dochodzeniach dotyczących pierwotnego łańcucha exploitów DarkSword, zaktualizowanego wariantu spyware ujawnionego w październiku oraz infrastruktury reklamowej wykorzystywanej do jego dostarczania.
DarkSword wykorzystuje sześć luk do przejęcia podatnych iPhone'ów
Badania Google Threat Intelligence Group z 18 marca udokumentowały łańcuch obsługujący iOS 18.4 do 18.7. Łącząc sześć podatności, atakujący mogli przejmować urządzenia i instalować oprogramowanie zbierające poufne informacje.
Google zidentyfikował trzy rodziny malware dostarczane po udanej eksploatacji: GHOSTBLADE, GHOSTKNIFE i GHOSTSABER. Ich możliwości się różniły – niektóre obsługiwały zdalne polecenia, inne zbierały dane bez ciągłego działania.
Wśród informacji zbieranych przez GHOSTBLADE znalazły się dane portfeli kryptowalutowych, pęki kluczy urządzenia, zapisy wiadomości, informacje o przeglądarce, bazy danych Notes, oraz media osobiste. Google zaobserwował kampanie wymierzone w osoby w Arabii Saudyjskiej, Turcji, Malezji i Ukrainie, z udziałem komercyjnych dostawców nadzoru i podejrzewanych aktorów sponsorowanych przez państwa.
Działalność sięgała co najmniej listopada 2025 roku. Google podał, że zgłosił podatności firmie Apple pod koniec tego roku oraz że wszystkie zostały załatane wraz z wydaniem iOS 26.3, przy czym większość naprawiono wcześniej.
Jego ustalenia opisywały ataki na podatne systemy operacyjne, a nie wymóg, by ofiary autoryzowały dostęp przez aplikację kryptowalutową.
P7 DarkSword daje atakującym zdalną kontrolę nad zbieraniem danych
Firma zajmująca się bezpieczeństwem mobilnym iVerify ujawniła wariant P7 w raporcie z 8 października, po dochodzeniu w sprawie infekcji wykrytej na urządzeniu klienta w sierpniu.
Badacze odzyskali spyware ze zmianami mającymi na celu zmniejszenie jego śladu, poprawę stabilności i obsługę dwukierunkowej komunikacji z infrastrukturą kontrolowaną przez atakujących. P7 usunął część logowania, ograniczył wstrzykiwanie procesów i wykorzystał pamięć przeglądarki, aby zapobiec powtarzanej eksploatacji.
Jego lista poleceń obejmowała funkcję identyfikującą zainstalowane aplikacje portfeli oraz inną do wyodrębniania danych związanych z portfelem z imToken. Inne polecenia zbierały bazy danych Apple Notes, zdjęcia, pliki aplikacji i informacje o urządzeniu.
Implant domyślnie sprawdzał swój serwer pod kątem instrukcji co 15 sekund, choć operatorzy mogli zmienić ten interwał. Liczba ta opisuje, jak często żądał poleceń, a nie stały harmonogram kradzieży środków lub wyodrębniania zawartości portfela.
W porównaniu z wcześniejszymi wersjami, które wysyłały bazę danych pęku kluczy do przetworzenia, P7 przetwarzał informacje z pęku kluczy na telefonie przed transmisją, według iVerify.
Złośliwe reklamy dostarczyły DarkSword bez kliknięcia w link
Dochodzenie iVerify i Report URI z 21 października udokumentowało dostarczanie przez złośliwe reklamy i porzucone integracje witryn internetowych.
W jednym z przypadków reklama na Instagramie o tematyce Mistrzostw Świata zainfekowała urządzenie pracownika, gdy ten przeglądał swój kanał. Osobna grupa następnie zaatakowała tego samego pracownika za pośrednictwem złośliwego linku zawierającego inny wariant DarkSword.
Report URI prześledziło kampanię o nazwie DeadTag do wygasłych domen wcześniej używanych przez usługi analityczne i reklamowe. Atakujący kupili domeny i wykorzystali integracje wciąż osadzone w witrynach, aby przekierowywać odwiedzających.
Badacze zidentyfikowali setki ponownie zarejestrowanych domen osadzonych w tysiącach witryn. Zaobserwowana przez nich sieć odnotowywała 135 milionów odwiedzin miesięcznie, co jest szacunkiem ruchu obejmującym witryny zdolne do serwowania exploitów, gdy odwiedzający spełniali warunki atakujących.
Śledztwo obejmowało fałszywą stronę Polymarket dostarczającą zarówno Coruna, jak i P7 DarkSword. W raporcie opisano automatyczne zakażenie, gdy złośliwa zawartość załadowała się na podatnym urządzeniu.
CertiK apeluje do użytkowników o wymianę ujawnionych fraz odzyskiwania
CertiK zaleciło użytkownikom iPhone'ów instalowanie dostępnych aktualizacji poprzez Ustawienia, Ogólne i Aktualizacja oprogramowania, unikanie nieznanych linków oraz trzymanie fraz seed poza Zdjęciami, Notatkami i zrzutami ekranu.
Jego zalecenia obejmowały portfele sprzętowe dla znaczących zasobów oraz Tryb blokady dla użytkowników o wyższym ryzyku. Google zaleciło Tryb blokady tam, gdzie aktualizacja nie była możliwa.
W przypadku podejrzenia naruszenia CertiK poinstruowało użytkowników, aby przenieśli środki do nowego portfela utworzonego na czystym, zaktualizowanym urządzeniu i nigdy nie używali ponownie starej frazy seed.
Osobno iVerify zaleciło zmianę haseł przechowywanych w pęku kluczy zainfekowanego telefonu.
