P7 DarkSword: nouvelle variante cachée vole les données iCloud Keychain et portefeuilles dans iOS

Les chercheurs en cybersécurité ont documenté une nouvelle variante plus insidieuse du kit d'exploitation iOS appelé DarkSword: baptisé comme P7 Épée noire. Selon les rapports techniques publiés par les signatures suivant la piste de malware mobile, cette version réduit la trace sur l'appareil, ajoute le vol direct des données clés (iCloud Keychain) et les applications de cryptomoneda, et établit une communication bidirectionnelle avec l'infrastructure de l'agresseur, faisant de l'infection une porte complète pour le contrôle de données sensibles et l'exfiltration.

Confirmé, DarkSword est un kit qui relie plusieurs vulnérabilités iOS pour s'échapper du bac à sable du navigateur, écaille les privilèges au noyau et finalement injecte un implant dans SpringBoard - le processus qui gère le lanceur d'application et l'interface principale sur iPhone -. Cet implant est le composant qui maintient la persistance et entend les ordres à distance. Les enquêtes publiques antérieures, y compris celles de groupes universitaires et de sociétés de sécurité, placent les premières détections de DarkSword dans la nature depuis novembre 2025 et la rapportent aux attaques contre des utilisateurs dans des pays comme l'Arabie saoudite, la Turquie, la Malaisie et l'Ukraine.

Dans le cas spécifique de P7, les analyses techniques font état de plusieurs différences opérationnelles par rapport aux variantes précédentes : au lieu de copier la base de données de la clé vers le serveur de l'attaquant, P7 la transforme en JSON dans l'appareil lui-même avant de l'envoyer ; il élimine différents enregistrements de débogage en HTTP et syslog pour nettoyer sa trace ; et utilise le stockage local du navigateur (localStorage) comme mesure pour empêcher les stocks accidentels ou pour activer des chaînes répétées. De plus, l'implant à injection de SpringBoard effectue des sondages réguliers (toutes les ~ 15 secondes dans les échantillons analysés), envoie des battements de cœur, une liste d'applications installées et peut transmettre des données, notes, photos et données iCloud Keychain de nombreuses applications de portefeuille.

Les commandes à distance observées dans les échantillons comprennent l'exécution de la commande système, la liste et le téléchargement des fichiers, le dumping de mémoire, la collecte de métadonnées sur disque, l'extraction de données d'applications spécifiques, la numérisation et l'extraction de données de portefeuilles et le téléchargement de photos et de bases de données Apple Notes. La capacité d'ajuster la cadence de balisage et d'arrêter l'implant a également été vue, confirmant que nous parlons d'une porte arrière interactive avec contrôle granulaire sur l'appareil compromis.

C'est un fait confirmé que les acteurs financiers et les entreprises malveillantes ont utilisé DarkSword et son écosystème : les chercheurs ont documenté son utilisation aux côtés du kit Coruna - conçu pour voler des phrases de récupération et des clés de portefeuille - et des campagnes qui profitent de domaines compromis ou ré-inscrits pour disperser le code malveillant. Un cas spécifique documenté par des spécialistes de la sécurité montre que le domaine d'un service d'analyse du commerce électronique a expiré et a été réenregistré, et son script de surveillance a été modifié pour rediriger les visiteurs vers des chaînes d'exploitation et des pages de fraude servant le fardeau de DarkSword.

Ce qui est confirmé et ce qui n'est pas. Confirmé: l'existence de la variante P7, sa technique d'injection SpringBoard, la suppression JSON de la chaîne de clés sur l'appareil et la liste des commandes distantes qui permettent d'exfilter des photos, des notes, des listes d'applications et des données de portefeuilles. Il est également vérifiable que le kit a été distribué par des sites Web malveillants et des étiquettes de tiers. Estimé mais non publiquement prouvé: l'attribution finale des opérations à un acteur de l'État ou à une organisation spécifique; les rapports indiquent à plusieurs opérateurs ayant une motivation financière et une infrastructure supposée chinoise, mais les chercheurs soulignent que l'autorité exacte reste sans confirmation publique. La mesure dans laquelle de nouveaux acteurs (éventuellement assistés par des modèles LLM) opèrent à grande échelle est encore incertaine : des tentatives infructueuses de porter la plateforme à iOS 26.x ont été détectées, mais l'efficacité de ces tentatives varie.

En termes techniques, la menace combine trois facteurs qui la rendent dangereuse : l'exploitation dans le navigateur pour l'entrée initiale, le levage au noyau pour éviter les limitations du système, et la persistance au sein de SpringBoard pour un accès continu et une collecte de données étendue. La combinaison avec Coruna ou des modules similaires ajoute un accent clair sur les actifs monétizables: lettres de créance, phrases de recouvrement et bilans cryptoactifs.

Qui elle affecte. Principalement pour les utilisateurs d'iPhone dont la version iOS est vulnérable (les variantes initiales ont indiqué des gammes telles que iOS 18.4-18.7), mais aussi pour les magasins et les plateformes web qui incluent des scripts tiers dans leurs magasins : les étiquettes analytiques périmées ou mal gérées peuvent devenir des vecteurs de distribution de masse. De plus, les opérateurs d'infrastructure tiers (CDN, réseaux publicitaires, plugins de suivi) deviennent des multiplicateurs de risque lorsqu'une étiquette est compromise ou réenregistrée.

Les conséquences pratiques pour une victime sont graves: perte de secrets iCloud Keychain (mots de passe et jetons), exposition de photos et de notes privées, vol de phrases de récupération et de clés cryptographiques, et télécommande des fonctions de l'appareil qui permettent l'espionnage continu. Pour des objectifs de grande valeur (utilisateurs possédant des fonds de cryptomoneda, journalistes, dirigeants, dissidents), l'engagement peut entraîner des pertes financières et des risques de chantage ou de diffusion d'informations sensibles.

Ce qu'un utilisateur ou un administrateur Web devrait faire dès maintenant. Tout d'abord, mettez à jour l'iPhone et l'iPad vers la dernière version iOS disponible sur la page de sécurité officielle d'Apple: https: / / support.apple.com / fr-us / HT201222. Les corrections de vulnérabilité qui permettent l'échappement de sandbox et l'exécution du noyau sont la défense la plus fiable. Deuxièmement, si vous soupçonnez que votre appareil pourrait être compromis (comportement étrange, activité réseau inhabituelle, notifications de session initiale), faites une sauvegarde sécurisée des données essentielles, restaure l'appareil aux paramètres d'usine et restaure à partir d'une sauvegarde propre ou reconfigure à partir de zéro ; après le rétablissement, changez les mots de passe critiques et activez 2FA dans des comptes importants. Troisièmement, pour les utilisateurs de cryptomonedas: supposons que les clés et les phrases auraient pu être exposées si l'appareil était compromis; déplacez les fonds vers un portefeuille créé sur un nouvel appareil sûr ou vers une marche matérielle; ne réutilisez pas les phrases ou les clés sur l'appareil compromis.

Pour les gestionnaires de magasins en ligne et les intégrateurs tiers: vérifier que les étiquettes et scripts analytiques ou marketing sont sous contrôle, vérifier la propriété des domaines associés à leurs balises et désactiver ou mettre à jour des intégrations tierces qui ne sont plus actives. Signaler aux fournisseurs de services la réenregistrement des domaines expirés et vérifier régulièrement le contenu servi par des tiers réduit le risque qu'un script malveillant infecte les visiteurs. Les gestionnaires de réseau et les équipes d'intervention en cas d'incidents devraient surveiller les indicateurs d'engagement décrits par les entreprises qui enquêtent sur la campagne et bloquer les domaines et les PI identifiés pendant l'enquête.

Pour plus de contexte sur l'analyse et la détection liées à cet écosystème d'exploitation et au vol de portefeuilles, les chercheurs ont publié des conclusions indépendantes et des équipes de recherche gardent des pages avec l'infrastructure et le suivi des artefacts : consulter les ressources publiques des équipes spécialisées dans la détection des menaces et la sécurité sur le Web, comme Censys ( https: / / censys.io /) ainsi que des plateformes d'analyse de l'intégrité des étiquettes et des scripts telles que Report URI ( https: / / report-uri.com /), où la réutilisation des domaines et la distribution par des étiquettes contaminées ont été documentées.

En conclusion: P7 DarkSword est une évolution opérationnelle de l'écosystème DarkSword / Coruna qui priorise la discrétion et l'extraction des biens précieux. L'atténuation efficace dépend du stationnement d'iOS en temps opportun, de l'hygiène dans la gestion de scripts tiers sur les sites Web, et de procédures d'urgence claires pour les utilisateurs de cryptomoneda et les administrateurs qui détectent des signes d'engagement.