DarkSword atakuje portfele kryptowalut na iPhone’ach

SlowMist poinformowała, że exploit o nazwie DarkSword pozwala atakującym przez przeglądarkę Safari uzyskać rozszerzony dostęp do iPhone’ów i pozyskać dane portfeli kryptowalutowych oraz klucze prywatne. Ataki rozpoczynają się od nakłonienia użytkownika do otwarcia złośliwego linku.

Według 23pds, dyrektora ds. bezpieczeństwa informacji w SlowMist, po otwarciu takiego linku exploit może wykorzystać łańcuch podatności, wydostać się poza środowisko ochronne przeglądarki i podnieść uprawnienia na urządzeniu, co umożliwia dostęp do danych znajdujących się poza przeglądarką.

Wcześniejsza analiza zespołu zajmującego się zagrożeniami wykazała, że DarkSword wykorzystywał łańcuch sześciu podatności i był używany w atakach wymierzonych w użytkowników w Arabii Saudyjskiej, Turcji, Malezji i na Ukrainie. Tamta analiza wskazywała obsługę iOS 18.4–18.7 oraz naprawienie znanych luk do czasu wydania iOS 26.3.

SlowMist przekazała, że napastnicy dostosowali DarkSword do nowszych wersji systemu, w tym iOS 26.5; informacja ta nie została jak dotąd niezależnie potwierdzona.

Specjaliści ds. bezpieczeństwa zalecają zaktualizowanie iPhone’a do najnowszej dostępnej wersji iOS oraz zachowanie ostrożności przy otwieraniu linków otrzymywanych przez media społecznościowe i komunikatory. SlowMist rekomenduje także korzystanie z dodatkowych zabezpieczeń portfeli, takich jak uwierzytelnianie dwuskładnikowe i zewnętrzne urządzenia sprzętowe.

W raporcie przypomniano wcześniejszy przypadek, w którym kryptotrader stracił około 600 000 USD po fałszywej weryfikacji usługi Cloudflare; zdarzenie wskazuje na stosowanie przez napastników różnych metod pozyskania kluczy i środków.

Informacje o rzekomym wsparciu DarkSword dla iOS 26.5 wymagają dalszej weryfikacji przez niezależne zespoły badawcze.