Исследователи обнаружили новый вариант шпионского ПО DarkSword для iPhone с более продвинутым функционалом скрытности и удаленного управления.

Обновленный вариант, получивший название P7 DarkSword, был выявлен экспертами iVerify в ходе исследования зараженного устройства клиента в августе 2026 года. Его название происходит от префикса p7_, используемого в модификациях исходного кода.

Расследование началось после того, как полученное предупреждение отличалось от типичных обнаружений DarkSword, с которыми сталкивается iVerify.

С согласия клиента исследователи собрали артефакты, включая подозрительные файлы, созданные в /private/var/tmp, и использовали платформу Validin для поиска соответствующих образцов эксплойтов и имплантатов.

В марте исследователи Google, Lookout и iVerify публично раскрыли DarkSword, фреймворк для взлома iPhone, использующий шесть уязвимостей.

Различные операторы использовали для нацеливание на устройства под управлением iOS 18.4–18.7, при этом кампании наблюдались в Украине, Саудовской Аравии, Турции и Малайзии.

iVerify сообщила, что жертвой в августе стал сотрудник финансового учреждения, а P7 распространялся через вредоносную рекламу в рамках атак типа wateringhole.

Компания также отмечает, что P7 теперь поддерживает iOS 18.7, в отличие от более ранней версии, которую она отслеживала, хотя другие развертывания DarkSword уже поддерживали эту версию.

P7 реализует удаление отладочных логов через HTTP-запросы и системный журнал, а также значительно снизила количество внедрений процессов, также используя локальное хранилище браузера для предотвращения повторной эксплуатации одного и того же устройства.

Тем не менее внесенные улучшения не устранили все следы, имеющие значение для криминалистического анализа.

В частности, iVerify обнаружила локальные файлы, связанные с извлечением данных из Keychain, включая keychain_c2_dump.json, маркер завершения операции, а также отладочные файлы с именами p7_debug.log и c2_wallet_debug.log.

Существенное изменение касается того, как имплант обрабатывает данные из связки ключей Apple. Более ранние варианты копировали базу данных связки ключей для обработки на инфраструктуре злоумышленника. P7 извлекает данные в JSON-файл на зараженном телефоне перед их экстракцией.

Шпионское ПО также поддерживает обнаружение криптокошельков и имеет специальный обработчик для извлечения данных, связанных с imToken. Более ранние версии уже были нацелены на получение информации о кошельках, поэтому P7 лишь развило эти возможности.

Управляющий агент работает внутри SpringBoard, процесса iOS, отвечающего за интерфейс главного экрана. По умолчанию опрашивает конечную точку /beacon злоумышленников каждые 15 секунд и получает инструкции, которые могут изменить интервал опроса или остановить агента.

Поддерживаемые команды позволяют операторам получать произвольные файлы, загружать фотографии, составлять инвентаризационную сетку установленных приложений, собирать данные из баз данных Apple Notes, извлекать данные из выбранных контейнеров приложений и сканировать файловую систему. Встроенный модуль также может выполнять произвольный JavaScript в своей среде выполнения.

По оценке iVerify, разработчики P7 продемонстрировали глубокое понимание кода, что отличает их модификации от многих вариантов, созданных с помощью ИИ, которые наблюдала компания.

В свою очередь, ранее, в апреле, Apple устранила основные уязвимости и расширила доступ к средствам защиты от DarkSword в iOS 18.7.7.