CertiK a averti que des attaquants utilisent une version plus récente du kit d'exploitation iOS DarkSword pour cibler les portefeuilles crypto sur des iPhones non corrigés, une page Safari malveillante pouvant potentiellement suffire à compromettre un appareil.
Résumé
- Six vulnérabilités sous-tendent la chaîne DarkSword documentée par Google pour iOS 18.4 à 18.7.
- P7 DarkSword prend en charge l'analyse des portefeuilles, la collecte d'identifiants et les commandes à distance sur les téléphones compromis.
- Des chercheurs ont observé des publicités malveillantes diffusant le logiciel malveillant pendant que les utilisateurs font défiler leur fil Instagram.
- CertiK recommande de mettre à jour iOS et de transférer les fonds exposés vers un portefeuille doté d'une nouvelle phrase de récupération.
CertiK, dans un avertissement du 6 novembre, a déclaré que l'attaque ne nécessite pas que les utilisateurs connectent un portefeuille ou approuvent une transaction. Son fil nommait MetaMask, Trust Wallet, Phantom, Exodus et Coinbase parmi les applications prétendument ciblées, ainsi que les mots de passe et les phrases de récupération stockés ailleurs sur le téléphone.
« Le simple fait d'ouvrir un site malveillant dans Safari peut suffire : aucune connexion de portefeuille, aucune signature nécessaire », a écrit la société de sécurité.
Cet avertissement fait suite à des enquêtes distinctes sur la chaîne d'exploitation originale de DarkSword, sur une variante de logiciel espion mise à jour divulguée en octobre, et sur l'infrastructure publicitaire utilisée pour le diffuser.
DarkSword utilise six failles pour compromettre les iPhones vulnérables
La recherche du 18 mars du Google Threat Intelligence Group a documenté une chaîne prenant en charge iOS 18.4 à 18.7. En combinant six vulnérabilités, les attaquants pouvaient compromettre des appareils et installer des logiciels qui collectaient des informations sensibles.
Google a identifié trois familles de logiciels malveillants livrées après une exploitation réussie : GHOSTBLADE, GHOSTKNIFE et GHOSTSABER. Leurs capacités différaient, certaines prenant en charge des commandes à distance et d'autres collectant des données sans fonctionner en continu.
Parmi les informations collectées par GHOSTBLADE figuraient les données de portefeuilles de cryptomonnaies, les trousseaux de clés de l'appareil, les enregistrements de messagerie, les informations de navigateur, les bases de données Notes et les médias personnels. Google a observé des campagnes contre des personnes en Arabie saoudite, en Turquie, en Malaisie et en Ukraine, impliquant des fournisseurs de surveillance commerciale et des acteurs soupçonnés d'être parrainés par des États.
L'activité remontait au moins à novembre 2025. Google a déclaré avoir signalé les vulnérabilités à Apple à la fin de cette année-là et que toutes avaient été corrigées lors de la sortie d'iOS 26.3, la plupart ayant été corrigées plus tôt.
Ses conclusions décrivaient des attaques contre des systèmes d'exploitation vulnérables, plutôt qu'une exigence pour les victimes d'autoriser l'accès via une application crypto.
P7 DarkSword donne aux attaquants le contrôle à distance de la collecte de données
La société de sécurité mobile iVerify a divulgué la variante P7 dans un rapport du 8 octobre, à la suite d'une enquête sur une infection détectée sur l'appareil d'un client en août.
Les chercheurs ont récupéré un logiciel espion avec des modifications destinées à réduire son empreinte, améliorer sa stabilité et prendre en charge une communication bidirectionnelle avec une infrastructure contrôlée par les attaquants. P7 a supprimé certaines journalisations, réduit les injections de processus et utilisé le stockage du navigateur pour empêcher une exploitation répétée.
Sa liste de commandes comprenait une fonction pour identifier les applications de portefeuille installées et une autre pour extraire les données liées au portefeuille d'imToken. D'autres commandes collectaient les bases de données Apple Notes, les photos, les fichiers d'application et les informations de l'appareil.
L'implant interrogeait son serveur pour obtenir des instructions toutes les 15 secondes par défaut, bien que les opérateurs puissent modifier cet intervalle. Ce chiffre décrit la fréquence à laquelle il demandait des commandes, et non un calendrier fixe pour voler des fonds ou extraire le contenu des portefeuilles.
Comparé aux versions antérieures qui envoyaient une base de données de trousseau de clés au loin pour traitement, P7 traitait les informations du trousseau de clés sur le téléphone avant la transmission, selon iVerify.
Des publicités malveillantes ont diffusé DarkSword sans clic sur un lien
Une enquête du 21 octobre menée par iVerify et Report URI a documenté une diffusion via des publicités malveillantes et des intégrations de sites web abandonnées.
Dans un cas, une publicité Instagram sur le thème de la Coupe du monde a infecté l'appareil d'un employé pendant que celui-ci faisait défiler son fil d'actualité. Un autre groupe a ensuite attaqué le même employé via un lien malveillant portant une autre variante de DarkSword.
Report URI a retracé une campagne appelée DeadTag jusqu'à des domaines expirés précédemment utilisés par des services d'analyse et de publicité. Les attaquants ont acheté les domaines et ont utilisé des intégrations encore présentes dans les sites web pour rediriger les visiteurs.
Les chercheurs ont identifié des centaines de domaines réenregistrés intégrés dans des milliers de sites. Leur réseau observé recevait 135 millions de visites mensuelles, une estimation du trafic couvrant les sites capables de diffuser les exploits lorsque les visiteurs remplissaient les conditions des attaquants.
L'enquête comprenait une fausse page Polymarket diffusant à la fois Coruna et P7 DarkSword. Le rapport décrivait une infection automatique lorsque du contenu malveillant se chargeait sur un appareil vulnérable.
CertiK exhorte les utilisateurs à remplacer les phrases de récupération exposées
CertiK a conseillé aux utilisateurs d'iPhone d'installer les mises à jour disponibles via Réglages, Général et Mise à jour logicielle, d'éviter les liens inconnus et de garder les phrases de récupération hors de Photos, Notes et des captures d'écran.
Ses recommandations incluaient des portefeuilles matériels pour les avoirs importants et le mode Verrouillage pour les utilisateurs à risque élevé. Google a recommandé le mode Verrouillage lorsque la mise à jour n'était pas possible.
En cas de compromission suspectée, CertiK a demandé aux utilisateurs de transférer les fonds vers un nouveau portefeuille créé sur un appareil propre et mis à jour, et de ne jamais réutiliser l'ancienne phrase de récupération.
Séparément, iVerify a recommandé de changer les mots de passe stockés dans le trousseau du téléphone affecté.
