DarkSword iPhone 漏洞瞄准加密钱包：CertiK 发出警告

CertiK 警告称，攻击者正在使用更新版本的 DarkSword iOS 漏洞利用工具包，针对未打补丁的 iPhone 上的加密钱包发起攻击，一个恶意 Safari 页面就可能足以入侵设备。

CertiK 在 11 月 6 日发布的警告中表示，该攻击不需要用户连接钱包或批准交易。其帖文称，据报被针对的应用包括 MetaMask、Trust Wallet、Phantom、Exodus 和 Coinbase，此外还有存储在手机其他位置的密码和助记词。

“仅仅在 Safari 中打开一个恶意网站就可能足够：无需连接钱包，无需签名，”该安全公司写道。

该警告发布之前，已有针对 DarkSword 原始漏洞利用链、10 月披露的更新版间谍软件变体以及用于投递它的广告基础设施的独立调查。

DarkSword 利用六个漏洞入侵存在漏洞的 iPhone

Google 威胁情报组 3 月 18 日的研究记录了一条支持 iOS 18.4 至 18.7 的攻击链。通过组合六个漏洞，攻击者可以入侵设备并安装收集敏感信息的软件。

Google 识别出成功利用后投递的三个恶意软件家族：GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER。它们的能力各不相同，一些支持远程命令，另一些则在非持续运行的情况下收集数据。

GHOSTBLADE 收集的信息包括加密货币钱包数据、设备钥匙串、消息记录、浏览器信息、备忘录数据库和个人媒体。Google 观察到针对沙特阿拉伯、土耳其、马来西亚和乌克兰人员的活动，涉及商业监控供应商和疑似国家支持的攻击者。

该活动至少可追溯至 2025 年 11 月。Google 表示，它已于当年晚些时候向 Apple 报告了这些漏洞，并且所有漏洞都已在 iOS 26.3 发布时得到修补，其中大多数更早被修复。

其调查结果描述的是针对存在漏洞的操作系统的攻击，而非要求受害者通过加密应用授权访问。

P7 DarkSword 让攻击者远程控制数据收集

移动安全公司 iVerify 在 10 月 8 日的报告中披露了 P7 变体，此前该公司对 8 月在客户设备上检测到的一次感染进行了调查。

研究人员恢复了该间谍软件，其改动旨在减少痕迹、提高稳定性，并支持与攻击者控制的基础设施进行双向通信。P7 移除了一些日志记录，减少了进程注入，并利用浏览器存储来防止重复利用。

其命令列表包括一项用于识别已安装钱包应用的功能，以及另一项用于从 imToken 提取钱包相关数据的功能。其他命令会收集 Apple 备忘录数据库、照片、应用文件和设备信息。

该植入程序默认每 15 秒向其服务器检查一次指令，不过操作者可以更改该间隔。这一数字描述的是它请求命令的频率，而非窃取资金或提取钱包内容的固定时间表。

据 iVerify 称，与早期版本将钥匙串数据库发送出去处理相比，P7 在传输前会在手机上处理钥匙串信息。

恶意广告无需点击链接即可投递 DarkSword

iVerify 和 Report URI 于 10 月 21 日进行的一项调查记录了通过恶意广告和被废弃的网站集成进行投递的情况。

在一起案例中，一则世界杯主题的Instagram广告在员工浏览信息流时感染了其设备。随后，另一个团伙通过携带另一DarkSword变种的恶意链接攻击了同一名员工。

Report URI追踪了一个名为DeadTag的活动，该活动针对的是此前被分析和广告服务使用过的过期域名。攻击者购买了这些域名，并利用仍嵌入在网站中的集成功能将访客重定向。

研究人员识别出数百个被重新注册的域名，这些域名嵌入在数千个网站中。他们观测到的网络每月获得1.35亿次访问，这一流量估算涵盖了当访客满足攻击者条件时能够提供漏洞利用的网站。

调查还包括一个伪造的Polymarket页面，该页面同时传播Coruna和P7 DarkSword。报告描述了当恶意内容在存在漏洞的设备上加载时发生的自动感染。

CertiK敦促用户更换已泄露的助记词

CertiK建议iPhone用户通过“设置”、“通用”和“软件更新”安装可用的更新，避免点击未知链接，并将助记词远离“照片”、“备忘录”和截图。

其建议包括对大量资产使用硬件钱包，以及对高风险用户启用锁定模式。谷歌建议在无法更新的情况下启用锁定模式。

对于疑似遭到入侵的情况，CertiK指导用户将资金转移到在干净、已更新的设备上创建的新钱包，并且永远不要重复使用旧的助记词。

另外，iVerify建议更改存储在受影响手机钥匙串中的密码。