iPhone-exploiten DarkSword paketeras om för att stjäla kryptoplånböcker

SlowMist uppger att DarkSword-kedjan av iOS-exploateringar har paketerats om till ett driftsättningsbart spionprogramsramverk riktat mot iPhone-användare och kryptoplånböcker. Kod dök upp på GitHub i mars, och forskare observerade attackinfrastruktur i drift från slutet av september. Det relaterade projektet DarkSword-PROV2 uppges innehålla exploateringskod, en leveransserver, en administratörspanel, en databas och moduler för att stjäla information från plånböckerna imToken, TokenPocket och TronLink. Dokumentationen erbjöd en fullständig version för 5 000 USDT. Ramverket kan enligt uppgift aktiveras när en användare besöker en skadlig webbsida i Safari. Systemet accepterar visserligen enheter från iOS 13 och senare, och dess bibliotek innehåller över 1 000 nyttolastposter, men SlowMist säger att de fullständiga exploateringskedjor som angriparnas routningskod för närvarande stöder riktar sig mot iOS 18.6–18.7.2 och iOS 26.0–26.1. Att enheter anges i breda kategorier innebär inte att alla versioner kan komprometteras. Under en 30-dagarsperiod registrerade kontrollpanelen 20 187 sidbesök och 1 187 exploateringsförsök, med 10 rapporterade lyckade fall och dataexfiltrering i nio av dem. SlowMist rapporterade även 57 loggade enheter i flera regioner. Separat visade den exponerade panelen 6 115 besök, 10 125 stöldposter och 143 802 iOS-loggar. Dessa siffror kommer från ett annat rapporteringssammanhang och bör inte slås ihop med 30-dagarsförloppet. Inga ekonomiska förluster för offer har redovisats. SlowMist råder alla som besökt en misstänkt webbsida att utgå från att plånboksnycklar och seedfraser kan ha röjts, flytta sina tillgångar till en ny plånbok som skapats på en ren enhet samt granska och återkalla onödiga token-godkännanden. DarkSword-fallet belyser risken med att offentliga iOS-exploateringar anpassas för att stjäla kryptoplånböcker.