Эксплойт DarkSword для iPhone перепаковали для кражи криптовалютных кошельков

По данным SlowMist, цепочка эксплойтов DarkSword для iOS была переупакована в готовый к развёртыванию шпионский фреймворк, нацеленный на пользователей iPhone и их криптовалютные кошельки. Код появился на GitHub в марте, а исследователи обнаружили действующую инфраструктуру атак с конца сентября. Как сообщается, связанный проект DarkSword-PROV2 включает код эксплойтов, сервер доставки, административную панель, базу данных и модули для кражи средств из кошельков imToken, TokenPocket и TronLink. В документации предлагалась полная версия за 5 000 USDT. Сообщается, что фреймворк может запускаться, когда пользователь открывает вредоносную страницу в Safari. Хотя система принимает устройства с iOS 13 и новее, а её библиотека содержит более 1 000 записей полезной нагрузки, SlowMist отмечает, что поддерживаемые в настоящее время кодом маршрутизации злоумышленников полные цепочки эксплойтов нацелены на iOS 18.6–18.7.2 и iOS 26.0–26.1. Широкие обозначения совместимости с устройствами не доказывают, что уязвимы все версии. За один 30-дневный период панель управления зафиксировала 20 187 посещений страниц и 1 187 попыток эксплуатации уязвимостей; сообщалось о 10 успешных случаях, а в девяти из них произошла утечка данных. SlowMist также сообщила о 57 зарегистрированных устройствах в нескольких регионах. Отдельно на доступной извне панели отображались 6 115 посещений, 10 125 записей о кражах и 143 802 журнала iOS; эти цифры относятся к другому контексту отчётности и их не следует объединять с показателями за 30-дневный период. Финансовые потери пострадавших не раскрывались. SlowMist рекомендует всем, кто посещал подозрительную страницу, считать ключи кошелька и seed-фразы потенциально скомпрометированными, перевести средства в новый кошелёк, созданный на чистом устройстве, а также проверить и отозвать ненужные разрешения для токенов. Случай DarkSword подчёркивает риск адаптации публичных эксплойтов для iOS с целью кражи криптовалют из кошельков.