CertiK попередила, що зловмисники використовують новішу версію iOS-експлойт-кіта DarkSword для атаки на криптогаманці на непропатчених iPhone, і шкідлива сторінка Safari може бути достатньою для компрометації пристрою.
Summary
- Шість уразливостей лежать в основі ланцюга DarkSword, задокументованого Google для iOS 18.4–18.7.
- P7 DarkSword підтримує сканування гаманців, збір облікових даних і віддалені команди на скомпрометованих телефонах.
- Дослідники спостерігали, як шкідливі рекламні оголошення доставляють зловред, поки користувачі гортають свої стрічки Instagram.
- CertiK рекомендує оновити iOS і перемістити скомпрометовані кошти до гаманця з новою фразою відновлення.
CertiK у попередженні від 6 листопада заявила, що атака не вимагає від користувачів підключення гаманця чи схвалення транзакції. У своїй серії повідомлень вона назвала MetaMask, Trust Wallet, Phantom, Exodus і Coinbase серед застосунків, які, за повідомленнями, є цілями, поряд із паролями та фразами відновлення, що зберігаються в іншому місці на телефоні.
«Простого відкриття шкідливого сайту в Safari може бути достатньо: жодного підключення гаманця, жодного підпису не потрібно», — написала компанія з кібербезпеки.
Попередження з'явилося після окремих розслідувань оригінального ланцюга експлойтів DarkSword, оновленого варіанта шпигунського ПЗ, розкритого в жовтні, та рекламної інфраструктури, яка використовується для його доставки.
DarkSword використовує шість недоліків для компрометації вразливих iPhone
Дослідження Google Threat Intelligence Group від 18 березня задокументувало ланцюг, що підтримує iOS 18.4–18.7. Поєднуючи шість уразливостей, зловмисники могли компрометувати пристрої та встановлювати програмне забезпечення, яке збирало конфіденційну інформацію.
Google ідентифікувала три сімейства зловредів, доставлених після успішної експлуатації: GHOSTBLADE, GHOSTKNIFE і GHOSTSABER. Їхні можливості відрізнялися: деякі підтримували віддалені команди, інші збирали дані, не працюючи безперервно.
Серед інформації, зібраної GHOSTBLADE, були дані криптовалютних гаманців, ключові сховища пристрою, записи повідомлень, інформація браузера, бази даних Notes і особисті медіа. Google спостерігала кампанії проти людей у Саудівській Аравії, Туреччині, Малайзії та Україні, за участю комерційних постачальників засобів спостереження та підозрюваних акторів, спонсорованих державою.
Ця активність сягає щонайменше листопада 2025 року. Google заявила, що повідомила про уразливості Apple наприкінці того року і що всі вони були виправлені з випуском iOS 26.3, причому більшість — раніше.
Її висновки описували атаки на вразливі операційні системи, а не вимогу до жертв авторизувати доступ через криптозастосунок.
P7 DarkSword дає зловмисникам віддалений контроль над збором даних
Компанія з мобільної безпеки iVerify розкрила варіант P7 у звіті від 8 жовтня після розслідування інфекції, виявленої на пристрої клієнта в серпні.
Дослідники відновили шпигунське ПЗ зі змінами, покликаними зменшити його слід, підвищити стабільність і підтримувати двосторонній зв'язок з інфраструктурою, контрольованою зловмисниками. P7 видалив частину журналювання, зменшив ін'єкції процесів і використовував сховище браузера для запобігання повторній експлуатації.
Його список команд включав функцію для визначення встановлених застосунків гаманців та іншу для вилучення даних, пов'язаних з гаманцем, з imToken. Інші команди збирали бази даних Apple Notes, фотографії, файли застосунків та інформацію про пристрій.
Імплант за замовчуванням перевіряв свій сервер на наявність інструкцій кожні 15 секунд, хоча оператори могли змінювати цей інтервал. Ця цифра описує, як часто він запитував команди, а не фіксований графік для викрадення коштів чи вилучення вмісту гаманця.
Порівняно з попередніми версіями, які надсилали базу даних ключового сховища для обробки, P7 обробляв інформацію ключового сховища на телефоні перед передачею, за даними iVerify.
Шкідливі оголошення доставляли DarkSword без кліку за посиланням
Розслідування iVerify та Report URI від 21 жовтня задокументувало доставку через шкідливі рекламні оголошення та занедбані інтеграції вебсайтів.
В одному випадку реклама в Instagram на тему Чемпіонату світу заразила пристрій співробітника, коли людина гортала свою стрічку. Окрема група згодом атакувала того ж співробітника через шкідливе посилання, що містило інший варіант DarkSword.
Report URI простежив кампанію під назвою DeadTag до прострочених доменів, які раніше використовувалися аналітичними та рекламними сервісами. Зловмисники купили ці домени та використали інтеграції, досі вбудовані в вебсайти, щоб перенаправляти відвідувачів.
Дослідники виявили сотні повторно зареєстрованих доменів, вбудованих у тисячі сайтів. Їхня спостережувана мережа отримувала 135 мільйонів відвідувань на місяць — оцінка трафіку, що охоплює сайти, здатні розповсюджувати експлойти, коли відвідувачі відповідали умовам зловмисників.
Розслідування включало підроблену сторінку Polymarket, яка розповсюджувала як Coruna, так і P7 DarkSword. У звіті описано автоматичне зараження, коли шкідливий вміст завантажувався на вразливий пристрій.
CertiK закликає користувачів замінити скомпрометовані фрази відновлення
CertiK порадив користувачам iPhone встановлювати доступні оновлення через Налаштування, Загальні та Оновлення програмного забезпечення, уникати невідомих посилань і тримати seed-фрази подалі від Фото, Нотаток і скриншотів.
Його рекомендації включали апаратні гаманці для значних активів і режим блокування для користувачів із підвищеним ризиком. Google рекомендував режим блокування там, де оновлення було неможливим.
У разі підозри на компрометацію CertiK радив користувачам переказати кошти на новий гаманець, створений на чистому, оновленому пристрої, і ніколи не використовувати повторно стару seed-фразу.
Окремо iVerify рекомендував змінити паролі, збережені у зв'язці ключів ураженого телефону.
