P7 DarkSword: nova variante oculta rouba iCloud Keychain e dados de wallets no iOS

Pesquisadores de cibersegurança documentaram uma variante nova e mais sigilosa do kit de exploração iOS conhecido como DarkSword: batizada como P7 DarkSword. Segundo relatos técnicos publicados por assinaturas que seguem a pista do malware móvel, esta versão reduz o rastro no dispositivo, acrescenta roubo direto de dados do chaveiro (iCloud Keychain) e de aplicativos de criptomoedas, e estabelece uma comunicação bidirecional com a infraestrutura do atacante, o que converte a infecção em uma porta completa para controle e exfiltração de dados sensíveis.

De forma confirmada, o DarkSword é um kit que encadeia várias vulnerabilidades do iOS para escapar da sandbox do navegador, escalar privilégios até o kernel e finalmente injetar um implante em SpringBoard – o processo que gerencia o lançador de apps e a interface principal no iPhone. Esse implante é o componente que mantém persistência e escuta ordens remotas. Pesquisas públicas anteriores, incluindo grupos acadêmicos e empresas de segurança, localizam as primeiras deteções de DarkSword na natureza desde novembro de 2025 e o relacionam com ataques contra usuários em países como a Arábia Saudita, a Turquia, a Malásia e a Ucrânia.

No caso específico do P7, as análises técnicas reportam várias diferenças operacionais em relação a variantes anteriores: em vez de copiar a base de dados do chaveiro para o servidor do atacante, P7 transforma-a em JSON no próprio dispositivo antes de a enviar; remove vários registos de depuração em HTTP e syslog para limpar o seu traço; e usa o armazenamento local do navegador (localStorage) como medida para prevenir re-explotações acidentais ou ativar cadeias repetidas. Além disso, o implante injetado em SpringBoard realiza polling periódico (cada ~15 segundos nas amostras analisadas), envia batimentos (“heartbeat”), lista de aplicativos instalados e pode transmitir dados do iCloud Keychain, notas, fotos e dados de inúmeras apps de wallet.

Os comandos remotos observados nas amostras incluem a execução de comandos do sistema, a listagem e a transferência de ficheiros, a recolha de meta- dados de disco, a extracção de dados de aplicações concretas, a digitalização e a extracção de dados de wallets e a subida de fotos e bases de dados da Apple Notes. Também se viu capacidade para ajustar a cadência do beaconing e para parar o implante, o que confirma que falamos de um backdoor interativo com controle granular sobre o dispositivo comprometido.

É um fato confirmado que atores financeiros e comerciais maliciosos utilizaram DarkSword e seu ecossistema: pesquisadores documentaram seu uso junto ao kit Coruna (diseñado para roubar frases de recuperação e keystores de wallets) e campanhas que aproveitam domínios comprometidos ou reregistrados para dispersar o código malicioso. Um caso concreto documentado por especialistas em segurança mostra que o domínio de um serviço de análise de comércio eletrônico expirou e foi re-registrado, e seu script de seguimento foi modificado para redireccionar visitantes para cadeias de exploração e páginas de fraude que servem a carga de DarkSword.

O que há confirmado e o que não. Confirmado: a existência da variante P7, sua técnica de injeção em SpringBoard, a extração em JSON do chaveiro no dispositivo e a lista de comandos remotos que permite exfiltrar fotos, notas, listas de apps e dados de wallets. Também é verificável que o kit foi distribuído por sites maliciosas e hashtags de terceiros comprometidas. Estimado mas não provado publicamente: a atribuição definitiva das operações a um actor estatal ou a uma organização concreta; os relatórios apontam para vários operadores com motivação financeira e para supostas infra-estruturas chinesas, mas os investigadores sublinham que a autoria exata permanece sem confirmação pública. Ainda incerto está até que ponto versões reimplementadas ou “recompiladas” por atores noveles (possivelmente assistidos por modelos LLM) estão operacionais em grande escala: foram detectadas tentativas fracas de portar a plataforma para iOS 26.x, mas a eficácia dessas tentativas varia.

Em termos técnicos, a ameaça combina três fatores que a tornam perigosa: exploração no navegador para entrada inicial, elevação do kernel para evitar limitações do sistema, e persistência no SpringBoard para acesso contínuo e ampla coleta de dados. A combinação com Coruna ou módulos semelhantes adiciona um foco claro em ativos monetizáveis: credenciais de carteiras, frases de recuperação e balanços de criptoativos.

Quem afecta. Principalmente usuários do iPhone cuja versão do iOS seja vulnerável (as variantes iniciais apontavam para faixas como iOS 18.4–18.7), mas também para comércios e plataformas web que incluem scripts de terceiros em suas lojas: etiquetas de analítica expiradas ou mal geridas podem se tornar vetores de distribuição massiva. Além disso, operadores de infra-estruturas de terceiros (CDN, redes de anúncios, plugins de rastreamento) tornam-se multiplicadores do risco quando uma etiqueta é comprometida ou re-registrada.

As consequências práticas para uma vítima são severas: perda de segredos do iCloud Keychain (contranhas e tokens), exposição de fotos e notas privadas, roubo de frases de recuperação e chaves de criptobilleteras, e controle remoto de funções do dispositivo que permitem espionagem contínua. Para objetivos de alto valor (usuários com tenências em criptomoedas, jornalistas, executivos, dissidentes), o compromisso pode traduzir-se em perdas financeiras e riscos de chantagem ou divulgação de informações sensíveis.

O que deve fazer um usuário ou um administrador web agora mesmo. Primeiro, atualizar iPhone e iPad para a última versão do iOS disponível através da página oficial de atualizações de segurança da Apple: https://support.apple.com/en-us/HT201222. As correções para vulnerabilidades que permitem escape de sandbox e execução no kernel são a defesa mais confiável. Segundo, se suspeitar que o seu dispositivo pode ser comprometido (comportamento estranho, atividade de rede incomum, notificações de sessões iniciadas), faça um backup seguro de dados essenciais, reponha o dispositivo a ajustes de fábrica e restaure a partir de uma cópia de segurança limpa ou configure novamente a partir de zero; após o restabelecimento, mude senhas críticas e active 2FA em contas importantes. Terceiro, para usuários com criptomoedas: asuma que chaves e frases poderiam ter sido expostas se o dispositivo estava comprometido; mova fundos para uma carteira criada em um dispositivo novo e seguro ou para um hardware wallet; não reutilize frases ou chaves no dispositivo comprometido.

Para administradores de lojas online e responsáveis por integrações de terceiros: verifiquem que as etiquetas e scripts de analítica ou marketing estão sob controle, verifiquem a propriedade de domínios associados às suas tags e desativem ou atualizem integrações de terceiros que já não estejam ativas. Reportar fornecedores de serviços a re-registração de domínios expirados e auditar periodicamente o conteúdo servido por terceiros reduz o risco de um programa malicioso infecte visitantes. Os administradores de redes e equipamentos de resposta a incidentes devem monitorar indicadores de compromisso descritos por assinaturas que investigam a campanha e bloquear domínios e IPs identificados enquanto pesquisa.

Para mais contexto sobre análise e detecções relacionadas com este ecossistema de exploração e roubo de wallets, as pesquisadoras publicaram achados e equipamentos de pesquisa independentes mantêm páginas com acompanhamento de infraestrutura e artefatos: consulte recursos públicos de equipamentos especializados em detecção de ameaças e segurança web, como Censys ( https://censys.io/) e plataformas de análise de integridade de etiquetas e scripts de terceiros como o Report URI ( https://report-uri.com/), onde foram documentadas campanhas de reuso de domínios e distribuição mediante etiquetas contaminadas.

Em conclusão: P7 DarkSword é uma evolução operacional do ecossistema DarkSword/Coruna que prioriza discrição e extração de ativos valiosos. A mitigação efetiva depende de adesivos adequados de iOS, higiene na gestão de scripts de terceiros em sites, e procedimentos de contingência claros para usuários de criptomoedas e administradores que detectem indícios de comprometimento.