Утёкшая iOS-эксплойт-цепочка DarkSword «P7» атакует криптокошельки через сайты казино
Исследователи разобрали криминальную версию эксплойт-цепочки DarkSword под названием «P7»: одно посещение веб-страницы на iPhone с iOS 18.4–18.7 приводит к установке импланта, который расшифровывает связку ключей на устройстве, извлекает seed-фразы и keystore криптокошельков и отправляет их на сервер атакующих. По оценке авторов, цепочка уже работает внутри сервиса доставки эксплойтов с партнёрскими «каналами», а приманками служат сайты китайских онлайн-казино. Материал касается специалистов по iOS-безопасности, мобильной форензике и реагированию на инциденты.
Подробности
Речь идёт о цепочке DarkSword, ранее ассоциировавшейся с операциями уровня государственных заказчиков. Криминальный вариант «P7» повторяет ту же схему доставки: жертва открывает веб-страницу, и эксплойт запускается автоматически, без дополнительных действий пользователя. Через несколько секунд в SpringBoard уже работает имплант, задача которого — компрометация хранилища секретов на устройстве. Ключевая особенность импланта — работа со связкой ключей (keychain) непосредственно на устройстве: он расшифровывает её, ищет seed-фразы и keystore криптовалютных кошельков, после чего отправляет найденное на сервер атакующих. Заложенная в разборе техника позволяет обходиться без ручного вмешательства и не требует, чтобы жертва вводила какие-либо данные. Затронутый диапазон версий — iOS 18.4–18.7. Исследователи также обнаружили третью сборку P7, отличающуюся новой приманкой и новым командным сервером, провели побайтовое сравнение импланта с оригинальным GHOSTBLADE и описали кластер доставки «qqtime», активный как минимум с июля 2026 года. Отдельно отмечена исправленная ошибка атрибуции, которая повторялась в ранних публикациях о мартовской кампании TA446.Что делать
В первую очередь проверьте версии iOS на парках мобильных устройств и не полагайтесь на то, что пользователь заметит факт компрометации: в описанной схеме атака происходит без его участия. Для устройств, работающих на iOS 18.4–18.7, рассмотрите приоритетное обновление до актуальной версии ОС. Для специалистов по реагированию на инциденты имеет смысл учесть индикаторы, связанные с кластером доставки «qqtime», и проверить сетевую активность на предмет обращений к неизвестным командным серверам. При подозрении на компрометацию криптокошельков следует исходить из того, что seed-фразы и keystore могли быть извлечены с устройства, — такие секреты нужно считать скомпрометированными и переносить средства на новые кошельки с чистой генерацией ключей. Организациям, сотрудники которых используют iPhone в рабочих процессах, стоит ограничить переходы по подозрительным ссылкам, в том числе поступающим в мессенджерах, и учитывать, что приманкой в этой кампании служат сайты китайских онлайн-казино. Для мониторинга полезно опираться на данные мобильной форензики: следы работы импланта в SpringBoard и аномальные обращения к связке ключей. Итог: DarkSword «P7» показывает, что цепочки уровня государственных заказчиков утекают в криминальную экосистему и становятся массовым сервисом. Для владельцев iPhone в диапазоне iOS 18.4–18.7 главный практический вывод — не откладывать обновление и относиться к seed-фразам как к потенциально скомпрометированным при любом подозрении на заражение.Источник: Хабр — Информационная безопасность