P7 DarkSword: neue versteckte Variante stiehlt iCloud Schlüsselanhänger und Geldbörsen Daten in iOS

Cybersecurity-Forscher haben eine neue und hinterlistigere Variante des iOS-Betriebs-Kits namens DarkSword dokumentiert: getauft als P7 Darksword. Nach technischen Berichten, die von Signaturen nach dem mobilen Malware-Track veröffentlicht werden, reduziert diese Version die Spur auf dem Gerät, fügt direkte Diebstahl von Schlüsseldaten (iCloud Keychain) und Kryptomoneda-Anwendungen, und stellt eine bidirektionale Kommunikation mit der Infrastruktur des Angreifers, so dass die Infektion eine komplette Tür für sensible Datenkontrolle und Exfiltration.

Confirmed, DarkSword ist ein Kit, das mehrere iOS Sicherheitslücken verknüpft, um aus der Browser-Sandbox zu entkommen, Privilegien für den Kernel zu skalieren und schließlich ein Implantat in SpringBoard injizieren - der Prozess, der die App Launcher und die Hauptschnittstelle auf iPhone verwaltet -. Dieses Implantat ist die Komponente, die Beharrlichkeit beibehält und Fernaufträge hört. Frühere öffentliche Untersuchungen, einschließlich der akademischen Gruppen und Sicherheitsunternehmen, stellen DarkSwords erste Entdeckungen in der Natur seit November 2025 und beziehen es auf Angriffe auf Nutzer in Ländern wie Saudi-Arabien, Türkei, Malaysia und Ukraine.

Im konkreten Fall von P7 berichten technische Analysen mehrere operative Unterschiede in Bezug auf frühere Varianten: Statt die Datenbank vom Schlüssel zum Server des Angreifers zu kopieren, verwandelt P7 sie in JSON im Gerät selbst vor dem Senden; es eliminiert verschiedene Debugging-Aufzeichnungen in HTTP und Syslog, um seine Spur zu reinigen; und verwendet lokale Browser-Speicher (LocalStorage) als Maß, um versäumte Betriebe zu verhindern oder zu aktivieren. Darüber hinaus sendet das SpringBoard-injizierte Implantat regelmäßige Umfragen (alle ~ 15 Sekunden in den analysierten Proben), Herzschlag, Liste der installierten Anwendungen und kann iCloud Keychain Daten, Notizen, Fotos und Daten von zahlreichen Wallet Apps übertragen.

Die in den Mustern beobachteten Remote-Befehle umfassen die Systembefehlsausführung, die Dateiauflistung und das Herunterladen, das Speicherablegen, die Sammlung von Festplattenmetadaten, die Datenextraktion bestimmter Anwendungen, das Scannen und die Datenextraktion von Geldbeuteln und das Hochladen von Apple Notes-Fotos und Datenbanken. Die Fähigkeit zur Einstellung der Beaconing-Cadence und zum Stoppen des Implantats wurde ebenfalls gesehen und bestätigt, dass wir über eine interaktive Hintertür mit körniger Kontrolle über das kompromittierte Gerät sprechen.

Es ist eine bestätigte Tatsache, dass Finanzakteure und schädliche Unternehmen DarkSword und sein Ökosystem verwendet haben: Forscher haben ihre Verwendung neben dem Coruna-Kit dokumentiert - entworfen, um Genesungsphrasen und Portemonnaies Keytoren zu stehlen - und Kampagnen, die Vorteile von kompromittierten oder neu registrierten Domains, um den schädlichen Code zu verbreiten. Ein spezieller Fall, der von Sicherheitsexperten dokumentiert wird, zeigt, dass die Domain eines elektronischen Handelsanalysedienstes abgelaufen ist und neu registriert wurde, und das Monitoring-Skript wurde geändert, um die Besucher auf operative Ketten und Betrugsseiten zu leiten, die DarkSwords Last dienen.

Was wird bestätigt und was nicht. Bestätigt: die Existenz der P7-Variante, ihre SpringBoard-Injektionstechnik, die JSON-Entfernung der Schlüsselkette auf dem Gerät und die Liste der Remote-Befehle, die es erlaubt, Fotos, Notizen, App-Listen und Portemonnaies Daten auszufiltern. Es ist auch überprüfbar, dass das Kit durch bösartige Websites und engagierte Drittanbieter-Etiketten verteilt wurde. Geschätzt, aber nicht öffentlich bewiesen: die abschließende Zuweisung von Operationen an einen Staatsakteur oder an eine bestimmte Organisation; die Berichte weisen auf mehrere Betreiber mit finanzieller Motivation und angeblicher chinesischer Infrastruktur hin, aber die Forscher betonen, dass die genaue Behörde ohne öffentliche Bestätigung bleibt. Noch ungewiss ist das Ausmaß, in dem reimplementierte oder "reclaimed" Versionen von neuen Schauspielern (möglicherweise unterstützt von LLM-Modellen) auf einem großen Maßstab funktionieren: gescheiterte Versuche, die Plattform auf iOS 26.x zu übertragen, aber die Wirksamkeit dieser Versuche variiert.

In technischer Hinsicht kombiniert die Bedrohung drei Faktoren, die es gefährlich machen: Betrieb im Browser für den ersten Eintrag, Heben auf Kernel, um Systembeschränkungen zu vermeiden, und Beharrlichkeit innerhalb von SpringBoard für den kontinuierlichen Zugriff und umfangreiche Datenerfassung. Die Kombination mit Coruna oder ähnlichen Modulen fügt einen klaren Fokus auf monetarisierbare Vermögenswerte: Billet-Anmeldeinformationen, Recovery-Sätze und kryptoaktive Bilanzen.

Wer es betrifft. Hauptsächlich für iPhone-Benutzer, deren iOS-Version verletzlich ist (die ersten Varianten weisen auf Bereiche wie iOS 18.4-18.7), aber auch für Geschäfte und Web-Plattformen, die Drittanbieter-Skripte in ihren Läden enthalten: abgelaufene oder schlecht verwaltete analytische Etiketten können Massenverteilungsvektoren werden. Darüber hinaus werden Drittanbieter-Infrastrukturbetreiber (CDN, Ad-Netzwerke, Tracking-Plugins) Risikomultiplikatoren, wenn ein Label kompromittiert oder neu registriert wird.

Die praktischen Konsequenzen für ein Opfer sind schwer: Verlust von iCloud Keychain-Geheimnissen (Passworte und Token), Belichtung von privaten Fotos und Notizen, Diebstahl von Recovery-Phrasen und Krypto-Tasten, und Fernbedienung von Gerätefunktionen, die eine fortgesetzte Spionage ermöglichen. Für hochwertige Ziele (Benutzer mit Kryptomoneda-Filialen, Journalisten, Führungskräfte, Dissidenten) kann das Engagement zu finanziellen Verlusten und Risiken der Erpressung oder Verbreitung sensibler Informationen führen.

Was ein Benutzer oder ein Web-Administrator jetzt tun sollte. Zuerst aktualisieren Sie iPhone und iPad auf die neueste iOS-Version über Apples offizielle Sicherheitsupdates Seite: https: / / support.apple.com / en-us / HT201222. Die Sicherheitskorrekturen, die Sandbox entkommen und Kernel Ausführung ermöglichen, sind die zuverlässigste Verteidigung. Zweitens, wenn Sie vermuten, dass Ihr Gerät kompromittiert werden könnte (fremdes Verhalten, ungewöhnliche Netzwerkaktivität, anfängliche Sitzungsmeldungen), stellen Sie eine sichere Sicherung wesentlicher Daten, wiederherstellen Sie das Gerät auf Werkseinstellungen und wiederherstellen von einem sauberen Backup oder rekonfigurieren von Grund auf; nach der Wiederherstellung, ändern Sie kritische Passwörter und ermöglichen 2FA in wichtige Konten. Drittens, für Benutzer mit cryptomonedas: vermuten, dass Schlüssel und Phrasen freigelegt werden könnten, wenn das Gerät kompromittiert wurde; bewegen Sie Geld in ein Portfolio, das auf einem neuen und sicheren Gerät oder einem Hardware-Spa erstellt wurde; verwenden Sie keine Phrasen oder Schlüssel auf dem kompromittierten Gerät.

Für Online-Shop-Manager und Integratoren von Drittanbietern: Überprüfen Sie, ob analytische oder Marketing-Etiketten und -Scripte unter Kontrolle sind, überprüfen Sie das Eigentum an Domains, die mit ihren Tags verbunden sind, und deaktivieren oder aktualisieren Sie Drittanbieter-Integrationen, die nicht mehr aktiv sind. Die Re-Registrierung von abgelaufenen Domains und die regelmäßige Prüfung der Inhalte Dritter reduziert das Risiko, dass ein schädliches Skript die Besucher infiziert. Netzwerkmanager und Notfall-Responsorteams sollten die von Unternehmen, die die Kampagne untersuchen, beschriebenen Engagement-Indikatoren überwachen und identifizierte Domains und PIs blockieren.

Für mehr Kontext zu Analyse und Erkennung in Bezug auf dieses Ökosystem der Ausbeutung und Diebstahl von Geldbörsen haben Forscher unabhängige Befunde veröffentlicht und Forschungsteams halten Seiten mit Infrastruktur und Artefakte Tracking: konsultieren Sie öffentliche Ressourcen von Teams spezialisiert auf Bedrohungserkennung und Websicherheit, wie Censys ( https: / / censys.io /) und externen Label- und Skriptintegritätsanalyseplattformen wie Report URI ( https: / / report-uri.com /), wo die Wiederverwendung von Domänen und die Verteilung durch kontaminierte Etiketten dokumentiert wurde.

Schlussfolgerung: P7 DarkSword ist eine operative Entwicklung des DarkSword / Coruna Ökosystems, das Diskretion und Extraktion von wertvollen Vermögenswerten priorisiert. Effektive Minderung hängt von rechtzeitigen iOS-Parken, Hygiene in der Verwaltung von Drittanbieter-Skripten auf Websites und klaren Contingency-Verfahren für Kryptomoneda-Benutzer und Administratoren, die Zeichen des Engagements erkennen.