iVerify atklāj DarkSword spiegu programmatūras P7 variantu, kas iPhone zag Keychain un kriptomaku datus

ASV mobilās drošības firma iVerify 8. oktobrī publicēja ziņojumu par iepriekš neredzētu iPhone spiegu programmatūras DarkSword variantu P7. Paraugs atklāts, izmeklējot inficēšanos finanšu iestādes darbinieka tālrunī 2026. gada augustā. Nosaukums cēlies no koda mainīgo prefiksa «p7_».

Atšķirībā no daudziem DarkSword atvasinājumiem, kurus iVerify novērojusi ar MI palīdzību veiktām izmaiņām, P7 autori, pēc firmu vērtējuma, ieguldījuši būtisku darbu koda pārveidē. Variants samazina žurnālu un procesu injekciju skaitu, izmanto pārlūkprogrammas vietējo krātuvi, lai izvairītos no atkārtotas tās pašas ierīces uzlaušanas, un paplašina datu zādzības iespējas.

Iepriekšējās DarkSword versijas bieži nokopēja visu Keychain datubāzi apstrādei ārpus ierīces. P7 Keychain datus ekstrahē JSON formātā jau tālrunī un nosūta uzbrucējiem. Papildus tam implants meklē kriptomaku lietotņu datus un atbalsta divvirzienu komandu un kontroles (C2) sakarus.

Pēc noklusējuma P7 ik pēc 15 sekundēm nosūta «beacon» pieprasījumu uzbrucēju serverim un gaida jaunas komandas; intervālu var mainīt attālināti. Komandas ļauj lejupielādēt failus, augšupielādēt fotogrāfijas, inventarizēt instalētās lietotnes, piekļūt Apple Notes datubāzēm, vākt atsevišķu lietotņu konteineru datus un skenēt failu sistēmu.

iVerify norāda, ka P7 izplatīšanai izmantotas ļaunprātīgas reklāmas un «watering-hole» uzbrukumi — upuris nav obligāti individuāli atlasīts, bet var inficēties, apmeklējot kompromitētu tīmekļa saturu. P7 nav jauna iOS ievainojamība, bet gan jauns ļaunprātīgais kravas (implant) variants pēc veiksmīgas DarkSword ķēdes.

Agrāk Google un iVerify saistīja DarkSword ar komerciāliem novērošanas pārdevējiem un iespējamiem valsts atbalstītiem aktoriem; uzbrukumi novēroti, piemēram, Saūda Arābijā, Turcijā, Malaizijā un Ukrainā. Oriģinālā ķēde skāra ierīces ar iOS 18.4 līdz 18.7; Apple jau izlaidusi labojumus, tostarp atjauninājumus vecākām iOS versijām.

Eksperti iesaka tālruņus turēt ar jaunāko pieejamo iOS versiju, izvairīties no aizdomīgām reklāmām un vietnēm, un aizdomu gadījumā pārbaudīt kontus un ierīci. Detalizēti indikatori (domēni, failu ceļi, kontrolsummas) publicēti iVerify ziņojumā.