iPhone向けエクスプロイト「DarkSword」を再パッケージ化、暗号資産ウォレットを窃取

SlowMistによると、DarkSwordのiOSエクスプロイトチェーンが、iPhoneユーザーと暗号資産ウォレットを標的とする、展開可能なスパイウェアフレームワークとして再パッケージ化されています。コードは3月にGitHub上に登場し、研究者は9月下旬から攻撃インフラが稼働しているのを確認しました。関連するDarkSword-PROV2プロジェクトには、エクスプロイトコード、配信サーバー、管理パネル、データベース、そしてimToken、TokenPocket、TronLinkのウォレットを標的とする窃取モジュールが含まれると報告されています。ドキュメントでは、完全版が5,000 USDTで提供されていました。 ユーザーがSafariで悪意のあるページにアクセスすると、このフレームワークが起動する可能性があるとされています。システムはiOS 13以降のデバイスに対応し、ライブラリには1,000件を超えるペイロード項目が含まれていますが、SlowMistによると、攻撃者のルーティングコードが現在サポートする完全なエクスプロイトチェーンは、iOS 18.6～18.7.2およびiOS 26.0～26.1を標的としています。デバイスの対象範囲が広く示されていても、すべてのバージョンが侵害可能だとは限りません。 ある30日間に、管理パネルにはページへの訪問が20,187件、エクスプロイトの試行が1,187件記録され、成功は10件と報告され、そのうち9件でデータ流出が確認されました。SlowMistは、複数の地域で記録された57台のデバイスについても報告しています。これとは別に、外部に露出したパネルには訪問6,115件、窃取記録10,125件、iOSログ143,802件が表示されていました。これらは異なる報告の文脈に基づく数値であり、30日間の一連の数値と合算すべきではありません。被害者の金銭的損失は公表されていません。SlowMistは、不審なページにアクセスした人に対し、ウォレットキーとシードフレーズが漏えいした可能性があると考え、クリーンなデバイスで作成した新しいウォレットに資金を移し、不要なトークン承認を確認して取り消すよう勧告しています。DarkSwordの事例は、公開されたiOSエクスプロイトが暗号資産ウォレットの窃取に転用されるリスクを浮き彫りにしています。