P7 DarkSword: nueva variante oculta roba iCloud Keychain y datos de wallets en iOS

Investigadores de ciberseguridad han documentado una variante nueva y más sigilosa del kit de explotación iOS conocido como DarkSword: bautizada como P7 DarkSword. Según reportes técnicos publicados por firmas que siguen la pista del malware móvil, esta versión reduce el rastro en el dispositivo, añade robo directo de datos del llavero (iCloud Keychain) y de aplicaciones de criptomonedas, y establece una comunicación bidireccional con la infraestructura del atacante, lo que convierte la infección en una puerta completa para control y exfiltración de datos sensibles.

De forma confirmada, DarkSword es un kit que encadena varias vulnerabilidades de iOS para escapar de la sandbox del navegador, escalar privilegios hasta el kernel y finalmente inyectar un implante en SpringBoard —el proceso que gestiona el lanzador de apps y la interfaz principal en iPhone—. Ese implante es el componente que mantiene persistencia y escucha órdenes remotas. Investigaciones públicas anteriores, incluidas las de grupos académicos y empresas de seguridad, ubican las primeras detecciones de DarkSword en la naturaleza desde noviembre de 2025 y lo relacionan con ataques contra usuarios en países como Arabia Saudí, Turquía, Malasia y Ucrania.

En el caso específico de P7, los análisis técnicos reportan varias diferencias operativas respecto a variantes previas: en vez de copiar la base de datos del llavero al servidor del atacante, P7 la transforma en JSON en el propio dispositivo antes de enviarla; elimina distintos registros de depuración en HTTP y syslog para limpiar su traza; y usa el almacenamiento local del navegador (localStorage) como medida para prevenir re-explotaciones accidentales o activar cadenas repetidas. Además, el implante inyectado en SpringBoard realiza polling periódico (cada ~15 segundos en las muestras analizadas), envía latidos (“heartbeat”), lista de aplicaciones instaladas y puede transmitir datos de iCloud Keychain, notas, fotos y datos de numerosas apps de wallet.

Los comandos remotos observados en las muestras incluyen ejecución de comandos del sistema, listado y descarga de archivos, volcado de memoria, recopilación de metadatos de disco, extracción de datos de aplicaciones concretas, escaneo y extracción de datos de wallets y subida de fotos y bases de datos de Apple Notes. También se ha visto capacidad para ajustar la cadencia del beaconing y para detener el implante, lo que confirma que hablamos de un backdoor interactivo con control granular sobre el dispositivo comprometido.

Es un hecho confirmado que actores financieros y comercios maliciosos han utilizado DarkSword y su ecosistema: investigadores han documentado su uso junto al kit Coruna —diseñado para robar frases de recuperación y keystores de wallets— y campañas que aprovechan dominios comprometidos o re-registrados para dispersar el código malicioso. Un caso concreto documentado por especialistas en seguridad muestra que el dominio de un servicio de analítica de comercio electrónico expiró y fue re-registrado, y su script de seguimiento fue modificado para redirigir visitantes hacia cadenas de explotación y páginas de fraude que sirven la carga de DarkSword.

Qué hay confirmado y qué no. Confirmado: la existencia de la variante P7, su técnica de inyección en SpringBoard, la extracción en JSON del llavero en el dispositivo y la lista de comandos remotos que permite exfiltrar fotos, notas, listas de apps y datos de wallets. También es verificable que el kit se ha distribuido mediante páginas web maliciosas y etiquetas de terceros comprometidas. Estimado pero no probado públicamente: la atribución definitiva de las operaciones a un actor estatal o a una organización concreta; los reportes señalan a varios operadores con motivación financiera y a presuntas infraestructuras chinas, pero los investigadores subrayan que la autoría exacta permanece sin confirmación pública. Aún incierto está hasta qué punto versiones reimplementadas o “recompiladas” por actores noveles (posiblemente asistidos por modelos LLM) están operativas a gran escala: se han detectado intentos fallidos de portar la plataforma a iOS 26.x, pero la eficacia de esos intentos varía.

En términos técnicos, la amenaza combina tres factores que la hacen peligrosa: explotación en el navegador para entrada inicial, elevación a kernel para evadir limitaciones del sistema, y persistencia dentro de SpringBoard para acceso continuo y amplia recopilación de datos. La combinación con Coruna o módulos similares añade un foco claro en activos monetizables: credenciales de billeteras, frases de recuperación y balances de criptoactivos.

A quién afecta. Principalmente a usuarios de iPhone cuya versión de iOS sea vulnerable (las variantes iniciales apuntaban a rangos como iOS 18.4–18.7), pero también a comercios y plataformas web que incluyen scripts de terceros en sus tiendas: etiquetas de analítica expiradas o mal gestionadas pueden convertirse en vectores de distribución masiva. Además, operadores de infraestructura de terceros (CDN, redes de anuncios, plugins de seguimiento) se convierten en multiplicadores del riesgo cuando una etiqueta es comprometida o re-registrada.

Las consecuencias prácticas para una víctima son severas: pérdida de secretos de iCloud Keychain (contraseñas y tokens), exposición de fotos y notas privadas, robo de frases de recuperación y claves de criptobilleteras, y control remoto de funciones del dispositivo que permiten espionaje continuado. Para objetivos de alto valor (usuarios con tenencias en criptomonedas, periodistas, ejecutivos, disidentes), el compromiso puede traducirse en pérdidas financieras y riesgos de chantaje o divulgación de información sensible.

Qué debe hacer un usuario o un administrador web ahora mismo. Primero, actualizar iPhone y iPad a la última versión de iOS disponible mediante la página oficial de actualizaciones de seguridad de Apple: https://support.apple.com/en-us/HT201222. Las correcciones para vulnerabilidades que permiten escape de sandbox y ejecución en kernel son la defensa más fiable. Segundo, si sospecha que su dispositivo pudo ser comprometido (comportamiento extraño, actividad de red inusual, notificaciones de sesiones iniciadas), realice un respaldo seguro de datos esenciales, restablezca el dispositivo a ajustes de fábrica y restaure desde una copia de seguridad limpia o configure nuevamente desde cero; tras el restablecimiento, cambie contraseñas críticas y habilite 2FA en cuentas importantes. Tercero, para usuarios con criptomonedas: asuma que claves y frases podrían haber sido expuestas si el dispositivo estuvo comprometido; mueva fondos a una cartera creada en un dispositivo nuevo y seguro o a una hardware wallet; no reutilice frases o claves en el dispositivo comprometido.

Para administradores de tiendas en línea y responsables de integraciones de terceros: verifiquen que las etiquetas y scripts de analítica o marketing estén bajo control, comprueben la titularidad de dominios asociados a sus tags y deshabiliten o actualicen integraciones de terceros que ya no estén activas. Reportar a proveedores de servicios la re-registración de dominios expirados y auditar periódicamente el contenido servido por terceros reduce el riesgo de que un script malicioso infecte visitantes. Los administradores de redes y equipos de respuesta a incidentes deberían vigilar indicadores de compromiso descritos por firmas que investigan la campaña y bloquear dominios e IPs identificadas mientras se investiga.

Para más contexto sobre análisis y detecciones relacionadas con este ecosistema de explotación y robo de wallets, las investigadoras han publicado hallazgos y equipos de investigación independientes mantienen páginas con seguimiento de infraestructura y artefactos: consulte recursos públicos de equipos especializados en detección de amenazas y en seguridad web, como Censys (https://censys.io/) y plataformas de análisis de integridad de etiquetas y scripts de terceros como Report URI (https://report-uri.com/), donde se han documentado campañas de re-uso de dominios y distribución mediante etiquetas contaminadas.

En conclusión: P7 DarkSword es una evolución operativa del ecosistema DarkSword/Coruna que prioriza discreción y extracción de activos valiosos. La mitigación efectiva depende de parcheo oportuno de iOS, higiene en la gestión de scripts de terceros en sitios web, y procedimientos de contingencia claros para usuarios de criptomonedas y administradores que detecten indicios de compromiso.