Привет! Исследователи iVerify обнаружили новую версию эксплойт-кита DarkSword под названием P7 DarkSword. Теперь вредонос может извлекать данные криптокошельков, читать iCloud Keychain и получать команды от атакующих.
👨💻 DarkSword использует цепочку уязвимостей iOS для выхода из песочницы браузера и повышения привилегий до уровня ядра. После этого имплант внедряется в процесс SpringBoard, который отвечает за домашний экран и запуск приложений. Ранее комплект применяли против iPhone на iOS 18.4–18.7.
🚨 В P7 появилась полноценная двусторонняя связь с C2. Каждые 15 секунд имплант проверяет новые команды: может выгружать фотографии, заметки, файлы приложений, искать криптокошельки и выполнять команды ОС. Данные Keychain теперь обрабатываются прямо на устройстве перед отправкой.
⚙️ Нашли и необычный способ распространения. Атакующие перерегистрировали домен закрывшегося аналитического сервиса ecomtrack[.]io. Его JavaScript-тег всё ещё оставался на сайтах интернет-магазинов, поэтому посетители могли попасть на страницу с эксплойтом DarkSword. Один из обнаруженных вариантов собирал данные более чем 25 криптокошельков.
P.S. Исследователи также находили попытки адаптировать DarkSword под iOS 26, но многие из них оказались нерабочими. Подтверждённой успешной эксплуатации этой версии iOS в представленном исследовании нет.
#DarkSword #iOS #ExploitKit #Infosec👍 Белый хакер