DarkSword iPhone 漏洞攻擊鎖定加密錢包：CertiK 示警

CertiK 警告稱，攻擊者正利用更新版本的 DarkSword iOS 漏洞利用工具包，針對未修補的 iPhone 上的加密貨幣錢包發動攻擊，僅一個惡意 Safari 頁面就可能足以入侵裝置。

CertiK 在 11 月 6 日發布的警告中表示，該攻擊不需要使用者連接錢包或批准交易。其推文串指出，據報受影響的應用程式包括 MetaMask、Trust Wallet、Phantom、Exodus 和 Coinbase，以及儲存在手機其他位置的密碼和助記詞。

「僅在 Safari 中開啟惡意網站就可能足夠：無需連接錢包，無需簽名，」該安全公司寫道。

此警告發布之前，已有針對 DarkSword 原始漏洞利用鏈、10 月披露的更新版間諜軟體變種，以及用於投放該軟體的廣告基礎設施的獨立調查。

DarkSword 利用六個漏洞入侵易受攻擊的 iPhone

Google 威脅情報小組 3 月 18 日的研究記錄了一條支援 iOS 18.4 至 18.7 的攻擊鏈。透過結合六個漏洞，攻擊者可以入侵裝置並安裝收集敏感資訊的軟體。

Google 識別出成功利用後投放的三個惡意軟體家族：GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER。它們的能力各不相同，部分支援遠端命令，其他則在非持續運作的情況下收集資料。

GHOSTBLADE 收集的資訊包括加密貨幣錢包資料、裝置鑰匙圈、訊息記錄、瀏覽器資訊、備忘錄資料庫和個人媒體。Google 觀察到針對沙烏地阿拉伯、土耳其、馬來西亞和烏克蘭民眾的攻擊活動，涉及商業監控供應商和疑似國家支持的攻擊者。

該活動至少可追溯至 2025 年 11 月。Google 表示已於該年晚些時候向 Apple 報告這些漏洞，且所有漏洞均已在 iOS 26.3 發布時修補，其中大多數更早修復。

其調查結果描述的是針對易受攻擊作業系統的攻擊，而非要求受害者透過加密應用程式授權存取。

P7 DarkSword 讓攻擊者遠端控制資料收集

行動安全公司 iVerify 在 10 月 8 日的報告中披露了 P7 變種，此前該公司對 8 月在客戶裝置上偵測到的感染進行了調查。

研究人員復原了該間諜軟體，其變更旨在減少足跡、提升穩定性，並支援與攻擊者控制的基礎設施進行雙向通訊。P7 移除了部分日誌記錄、減少了進程注入，並利用瀏覽器儲存來防止重複利用。

其命令清單包括一個用於識別已安裝錢包應用程式的功能，以及另一個用於從 imToken 提取錢包相關資料的功能。其他命令則收集 Apple 備忘錄資料庫、照片、應用程式檔案和裝置資訊。

該植入程式預設每 15 秒向伺服器檢查指令，不過操作者可更改該間隔。該數字描述的是其請求命令的頻率，而非竊取資金或提取錢包內容的固定時間表。

據 iVerify 稱，與早期將鑰匙圈資料庫傳送至外部處理的版本相比，P7 在傳輸前於手機上處理鑰匙圈資訊。

惡意廣告無需點擊連結即可投放 DarkSword

iVerify 與 Report URI 於 10 月 21 日進行的調查記錄了透過惡意廣告和廢棄網站整合進行投放的過程。

在其中一起案例中，一則世界盃主題的 Instagram 廣告在員工瀏覽動態消息時感染了其裝置。另一個團體隨後透過一個攜帶另一款 DarkSword 變種的惡意連結，攻擊了同一名員工。

Report URI 追蹤到一個名為 DeadTag 的活動，其利用了先前由分析與廣告服務所使用的過期網域。攻擊者購買了這些網域，並利用仍嵌入在網站中的整合功能來重新導向訪客。

研究人員識別出數百個被重新註冊、嵌入於數千個網站中的網域。他們所觀察到的網路每月獲得 1.35 億次造訪，這是一項流量估計，涵蓋了在訪客符合攻擊者條件時能夠提供漏洞利用的網站。

該調查包含一個偽造的 Polymarket 頁面，同時散布 Coruna 與 P7 DarkSword。報告描述了當惡意內容在易受攻擊的裝置上載入時會自動感染。

CertiK 呼籲使用者更換已外洩的助記詞

CertiK 建議 iPhone 使用者透過「設定」、「一般」與「軟體更新」安裝可用的更新，避免點擊未知連結，並將助記詞遠離「照片」、「備忘錄」與螢幕截圖。

其建議包括對大額持有資產使用硬體錢包，以及對高風險使用者使用「鎖定模式」。Google 建議在無法更新的情況下使用「鎖定模式」。

對於疑似遭入侵的情況，CertiK 指示使用者將資金轉移至在乾淨且已更新的裝置上建立的新錢包，並且絕不重複使用舊的助記詞。

另外，iVerify 建議更改儲存在受影響手機鑰匙圈中的密碼。