Експлойт DarkSword для iPhone перепакували для викрадення криптогаманців

SlowMist стверджує, що ланцюжок експлойтів DarkSword для iOS перепакували у фреймворк шпигунського ПЗ, готовий до розгортання та націлений на користувачів iPhone і їхні криптовалютні гаманці. Код з’явився на GitHub у березні, а дослідники зафіксували роботу інфраструктури атак із кінця вересня. За повідомленнями, пов’язаний проєкт DarkSword-PROV2 містить код експлойтів, сервер доставки, адміністративну панель, базу даних і модулі крадіжки, націлені на гаманці imToken, TokenPocket і TronLink. У документації повну версію пропонували за 5 000 USDT. Як повідомляється, фреймворк може активуватися, коли користувач відкриває шкідливу сторінку в Safari. Хоча система приймає пристрої з iOS 13 і новішими версіями, а її бібліотека містить понад 1 000 записів корисного навантаження, SlowMist зазначає, що повні ланцюжки експлойтів, які наразі підтримує код маршрутизації зловмисників, націлені на iOS 18.6–18.7.2 та iOS 26.0–26.1. Загальні позначення сумісності з пристроями не доводять, що вразливими є всі версії. За один 30-денний період панель керування зафіксувала 20 187 відвідувань сторінок і 1 187 спроб експлуатації вразливостей. Повідомлялося про 10 успішних атак, а в дев’яти випадках було викрадено дані. SlowMist також повідомила про 57 зареєстрованих пристроїв у кількох регіонах. Окремо на відкритій панелі відображалися 6 115 відвідувань, 10 125 записів про крадіжки та 143 802 журнали iOS; ці цифри походять з іншого контексту звітності й не мають об’єднуватися з показниками за 30-денний період. Фінансові втрати постраждалих не розкривалися. SlowMist радить усім, хто відвідував підозрілу сторінку, вважати ключі гаманця та seed-фрази потенційно скомпрометованими, переказати кошти до нового гаманця, створеного на чистому пристрої, а також перевірити й відкликати непотрібні дозволи для токенів. Випадок DarkSword демонструє ризик адаптації публічних експлойтів iOS для крадіжки криптовалюти з гаманців.