CertiK ha advertido que los atacantes están utilizando una versión más reciente del kit de exploits DarkSword para iOS con el fin de atacar carteras de criptomonedas en iPhones sin parches, y que una página maliciosa de Safari podría ser suficiente para comprometer un dispositivo.
Resumen
- Seis vulnerabilidades sustentan la cadena DarkSword documentada por Google para iOS 18.4 hasta 18.7.
- P7 DarkSword admite el escaneo de carteras, la recopilación de credenciales y comandos remotos en teléfonos comprometidos.
- Los investigadores han observado anuncios maliciosos que entregan el malware mientras los usuarios desplazan sus feeds de Instagram.
- CertiK recomienda actualizar iOS y mover los fondos expuestos a una cartera con una frase de recuperación nueva.
CertiK, en una advertencia del 6 de noviembre, dijo que el ataque no requiere que los usuarios conecten una cartera ni aprueben una transacción. Su hilo nombró a MetaMask, Trust Wallet, Phantom, Exodus y Coinbase entre las aplicaciones presuntamente atacadas, junto con contraseñas y frases de recuperación almacenadas en otras partes del teléfono.
“Simplemente abrir un sitio malicioso en Safari puede ser suficiente: no se necesita conexión de cartera, no se necesita firma”, escribió la firma de seguridad.
La advertencia sigue a investigaciones separadas sobre la cadena de exploits original de DarkSword, una variante actualizada de spyware revelada en octubre y la infraestructura publicitaria utilizada para distribuirlo.
DarkSword utiliza seis fallos para comprometer iPhones vulnerables
La investigación del 18 de marzo del Grupo de Inteligencia de Amenazas de Google documentó una cadena compatible con iOS 18.4 hasta 18.7. Al combinar seis vulnerabilidades, los atacantes podían comprometer dispositivos e instalar software que recopilaba información sensible.
Google identificó tres familias de malware entregadas tras una explotación exitosa: GHOSTBLADE, GHOSTKNIFE y GHOSTSABER. Sus capacidades diferían, y algunas admitían comandos remotos mientras otras recopilaban datos sin operar de forma continua.
Entre la información recopilada por GHOSTBLADE se encontraban datos de carteras de criptomonedas, llaveros de dispositivos, registros de mensajería, información de navegadores, bases de datos de Notas y medios personales. Google observó campañas contra personas en Arabia Saudita, Turquía, Malasia y Ucrania, que involucraban a proveedores comerciales de vigilancia y a actores sospechosos de estar patrocinados por el Estado.
La actividad se remontaba al menos a noviembre de 2025. Google dijo que informó las vulnerabilidades a Apple a finales de ese año y que todas habían sido parcheadas con el lanzamiento de iOS 26.3, y la mayoría se corrigió antes.
Sus hallazgos describieron ataques contra sistemas operativos vulnerables, en lugar de un requisito de que las víctimas autorizaran el acceso a través de una aplicación de criptomonedas.
P7 DarkSword otorga a los atacantes control remoto sobre la recopilación de datos
La firma de seguridad móvil iVerify reveló la variante P7 en un informe del 8 de octubre, tras una investigación sobre una infección detectada en el dispositivo de un cliente en agosto.
Los investigadores recuperaron spyware con cambios destinados a reducir su huella, mejorar la estabilidad y admitir comunicación bidireccional con la infraestructura controlada por los atacantes. P7 eliminó parte del registro, redujo las inyecciones de procesos y utilizó el almacenamiento del navegador para evitar la explotación repetida.
Su lista de comandos incluía una función para identificar aplicaciones de cartera instaladas y otra para extraer datos relacionados con carteras de imToken. Otros comandos recopilaban bases de datos de Apple Notes, fotos, archivos de aplicaciones e información del dispositivo.
El implante consultaba su servidor en busca de instrucciones cada 15 segundos por defecto, aunque los operadores podían cambiar ese intervalo. La cifra describe con qué frecuencia solicitaba comandos, no un calendario fijo para robar fondos o extraer el contenido de la cartera.
En comparación con versiones anteriores que enviaban una base de datos de llavero fuera para su procesamiento, P7 procesaba la información del llavero en el teléfono antes de la transmisión, según iVerify.
Anuncios maliciosos han entregado DarkSword sin hacer clic en un enlace
Una investigación del 21 de octubre de iVerify y Report URI documentó la entrega mediante anuncios maliciosos e integraciones de sitios web abandonadas.
En un caso, un anuncio de Instagram con temática de la Copa Mundial infectó el dispositivo de un empleado mientras la persona se desplazaba por su feed. Un grupo separado atacó posteriormente al mismo empleado mediante un enlace malicioso que portaba otra variante de DarkSword.
Report URI rastreó una campaña llamada DeadTag hasta dominios caducados utilizados anteriormente por servicios de analítica y publicidad. Los atacantes compraron los dominios y utilizaron integraciones aún incrustadas en sitios web para redirigir a los visitantes.
Los investigadores identificaron cientos de dominios re-registrados incrustados en miles de sitios. Su red observada recibió 135 millones de visitas mensuales, una estimación de tráfico que abarca sitios capaces de servir los exploits cuando los visitantes cumplían las condiciones de los atacantes.
La investigación incluyó una página falsa de Polymarket que entregaba tanto Coruna como P7 DarkSword. El informe describió una infección automática cuando el contenido malicioso se cargaba en un dispositivo vulnerable.
CertiK insta a los usuarios a reemplazar las frases de recuperación expuestas
CertiK aconsejó a los usuarios de iPhone instalar las actualizaciones disponibles a través de Ajustes, General y Actualización de software, evitar enlaces desconocidos y mantener las frases semilla fuera de Fotos, Notas y capturas de pantalla.
Sus recomendaciones incluían carteras de hardware para tenencias significativas y el Modo de bloqueo para usuarios de mayor riesgo. Google recomendó el Modo de bloqueo cuando no fuera posible actualizar.
En caso de sospecha de compromiso, CertiK indicó a los usuarios mover los fondos a una nueva cartera creada en un dispositivo limpio y actualizado y nunca reutilizar la frase semilla antigua.
Por separado, iVerify recomendó cambiar las contraseñas almacenadas en el llavero del teléfono afectado.
