Cercetătorii din domeniul securității cibernetice au dezvăluit detalii despre o variantă necunoscută până acum a kitului de exploatare DarkSword pentru iOS, denumită P7 DarkSword. Aceasta își reduce amprenta pe iPhone-urile compromise, prelucrează datele furate din Keychain direct pe dispozitiv și oferă atacatorilor capacități extinse de control de la distanță.
– articolul continuă mai jos –
Denumită P7 DarkSword, varianta a fost identificată de echipa de informații privind amenințările (Threat Intelligence Team) a iVerify în timpul unei investigații din august 2026 privind o infecție pe dispozitivul unui client, potrivit Cyberinsider. Numele său provine de la prefixul „p7_” utilizat în modificările aduse codului original.
DarkSword pentru iOS a fost detectat pentru prima dată la începutul lunii martie
DarkSword a fost documentat public pentru prima dată la începutul lunii martie de către Google Threat Intelligence Group (GTIG), iVerify și Lookout, care au detaliat capacitatea sa de a viza iPhone-urile care rulează versiuni de iOS cuprinse între iOS 18.4 și 18.7. Kitul a fost detectat în mediul real în noiembrie 2025.
Ancheta a început după ce o alertă s-a diferențiat de detectările DarkSword pe care iVerify le întâlnește de obicei. Cu consimțământul clientului, cercetătorii au colectat probe criminalistice, inclusiv fișiere suspecte și mostre de exploituri și implanturi asociate.
iVerify a precizat că P7 a fost distribuit prin reclame malițioase în cadrul unor atacuri de tip „watering-hole”. Compania a mai menționat că P7 este compatibil acum cu iOS 18.7, comparativ cu varianta anterioară pe care a urmărit-o, deși alte implementări DarkSword erau deja compatibile cu acea versiune.
Un atac cibernetic de tip watering hole (în traducere, atac la „adăpătoare”) este o metodă prin care un infractor cibernetic infectează un site web legitim și frecventat de un grup specific de utilizatori, cu scopul de a le compromite dispozitivele și rețelele.
Kitul de exploatare P7 DarkSword pentru iOS adaugă funcții de furt al datelor din portofelele criptografice și comenzi de la distanță
Varianta P7 își reduce expunerea prin eliminarea jurnalelor de depanare transmise prin cereri HTTP și din jurnalul de sistem, precum și prin efectuarea unui număr mai mic de injectări de procese. De asemenea, utilizează browserul pentru a preveni exploatarea repetată a aceluiași dispozitiv, fapt ce îmbunătățește stabilitatea.
Te-ar putea interesa și: Breșă de securitate la Depozitarul Central al Bursei de Valori București: datele personale ale investitorilor, expuse după un atac cibernetic
Modificările nu elimină toate urmele criminalistice. iVerify a identificat fișiere locale asociate cu extragerea Keychain, un marcator de finalizare și fișiere de depanare.
O schimbare semnificativă se referă la modul în care implantul gestionează datele din Apple Keychain. Variantele anterioare copiau baza de date Keychain pentru a o procesa pe infrastructura atacatorului; P7 extrage datele într-un fișier JSON pe telefonul infectat înainte de exfiltrare.
Programul-spion oferă, de asemenea, suport pentru detectarea portofelelor de criptomonede și include un modul de gestionare dedicat extragerii datelor asociate cu aplicația de portofel imToken, ceea ce reprezintă o evoluție a capacităților de furt.
Agentul său de comandă și control rulează în interiorul SpringBoard, procesul iOS responsabil de interfața ecranului de pornire. În mod prestabilit, acesta interoghează punctul final al atacatorilor la fiecare 15 secunde și primește instrucțiuni care pot modifica intervalul de interogare sau pot opri agentul.
Comenzile acceptate de aplicația-spion permit operatorilor să recupereze diverse fișiere, să încarce fotografii, să inventarieze aplicațiile instalate, să colecteze bazele de date Apple Notes, să extragă date selectate din containerele aplicațiilor și să scaneze sistemul de fișiere. Implantul poate, de asemenea, să execute cod JavaScript în cadrul mediului său de execuție.
iVerify consideră că autorii P7 au demonstrat o înțelegere solidă a codului, iar modificările lor se disting de multe dintre variantele asistate de IA pe care compania le-a observat.
Apple a remediat anterior vulnerabilitățile subiacente și a extins accesul la protecțiile împotriva DarkSword prin iOS 18.7.7 în luna aprilie.
Utilizatorii trebuie să instaleze cea mai recentă versiune iOS compatibilă prin accesarea secțiunii Configurări → General → Actualizare software și să activeze actualizările automate.
About the Author
