A CertiK alertou que atacantes estão usando uma versão mais recente do kit de exploits DarkSword para iOS para atingir carteiras de criptomoedas em iPhones sem patch, com uma página maliciosa do Safari potencialmente suficiente para comprometer um dispositivo.
Resumo
- Seis vulnerabilidades sustentam a cadeia DarkSword documentada pelo Google para iOS 18.4 até 18.7.
- O P7 DarkSword oferece suporte a varredura de carteiras, coleta de credenciais e comandos remotos em telefones comprometidos.
- Pesquisadores observaram anúncios maliciosos entregando o malware enquanto os usuários rolavam seus feeds do Instagram.
- A CertiK recomenda atualizar o iOS e mover fundos expostos para uma carteira com uma nova frase de recuperação.
A CertiK, em um alerta de 6 de novembro, disse que o ataque não exige que os usuários conectem uma carteira ou aprovem uma transação. Sua thread nomeou MetaMask, Trust Wallet, Phantom, Exodus e Coinbase entre os aplicativos supostamente visados, juntamente com senhas e frases de recuperação armazenadas em outros locais do telefone.
“Simplesmente abrir um site malicioso no Safari pode ser suficiente: nenhuma conexão de carteira, nenhuma assinatura necessária”, escreveu a empresa de segurança.
O alerta segue investigações separadas sobre a cadeia de exploits original do DarkSword, uma variante atualizada de spyware divulgada em outubro e a infraestrutura de publicidade usada para entregá-la.
DarkSword usa seis falhas para comprometer iPhones vulneráveis
A pesquisa de 18 de março do Google Threat Intelligence Group documentou uma cadeia com suporte para iOS 18.4 até 18.7. Ao combinar seis vulnerabilidades, os atacantes podiam comprometer dispositivos e instalar software que coletava informações sensíveis.
O Google identificou três famílias de malware entregues após a exploração bem-sucedida: GHOSTBLADE, GHOSTKNIFE e GHOSTSABER. Suas capacidades diferiam, com algumas oferecendo suporte a comandos remotos e outras coletando dados sem operar continuamente.
Entre as informações coletadas pelo GHOSTBLADE estavam dados de carteiras de criptomoedas, chaveiros do dispositivo, registros de mensagens, informações de navegador, bancos de dados do Notes e mídia pessoal. O Google observou campanhas contra pessoas na Arábia Saudita, Turquia, Malásia e Ucrânia, envolvendo fornecedores comerciais de vigilância e suspeitos de atores patrocinados pelo Estado.
A atividade remontava a pelo menos novembro de 2025. O Google disse que relatou as vulnerabilidades à Apple no final daquele ano e que todas haviam sido corrigidas com o lançamento do iOS 26.3, com a maioria corrigida antes.
Suas descobertas descreveram ataques contra sistemas operacionais vulneráveis, em vez de uma exigência de que as vítimas autorizassem o acesso por meio de um aplicativo de criptomoedas.
P7 DarkSword dá aos atacantes controle remoto sobre a coleta de dados
A empresa de segurança móvel iVerify divulgou a variante P7 em um relatório de 8 de outubro, após uma investigação sobre uma infecção detectada no dispositivo de um cliente em agosto.
Pesquisadores recuperaram spyware com mudanças destinadas a reduzir sua pegada, melhorar a estabilidade e oferecer suporte à comunicação bidirecional com infraestrutura controlada pelos atacantes. O P7 removeu parte do registro de logs, reduziu injeções de processos e usou armazenamento do navegador para evitar exploração repetida.
Sua lista de comandos incluía uma função para identificar aplicativos de carteira instalados e outra para extrair dados relacionados a carteiras do imToken. Outros comandos coletavam bancos de dados do Apple Notes, fotos, arquivos de aplicativos e informações do dispositivo.
O implante verificava seu servidor em busca de instruções a cada 15 segundos por padrão, embora os operadores pudessem alterar esse intervalo. O número descreve com que frequência ele solicitava comandos, não um cronograma fixo para roubar fundos ou extrair o conteúdo da carteira.
Em comparação com versões anteriores que enviavam um banco de dados de chaveiro para processamento externo, o P7 processava as informações do chaveiro no telefone antes da transmissão, segundo a iVerify.
Anúncios maliciosos entregaram o DarkSword sem clique em link
Uma investigação de 21 de outubro da iVerify e da Report URI documentou a entrega por meio de anúncios maliciosos e integrações de sites abandonados.
Em um caso, um anúncio do Instagram com tema de Copa do Mundo infectou o dispositivo de um funcionário enquanto a pessoa navegava pelo feed. Um grupo separado posteriormente atacou o mesmo funcionário por meio de um link malicioso carregando outra variante do DarkSword.
O Report URI rastreou uma campanha chamada DeadTag até domínios expirados anteriormente usados por serviços de análise e publicidade. Os atacantes compraram os domínios e usaram integrações ainda incorporadas em sites para redirecionar visitantes.
Os pesquisadores identificaram centenas de domínios re-registrados incorporados em milhares de sites. A rede observada por eles recebeu 135 milhões de visitas mensais, uma estimativa de tráfego que abrange sites capazes de servir os exploits quando os visitantes atendiam às condições dos atacantes.
A investigação incluiu uma página falsa do Polymarket que entregava tanto o Coruna quanto o P7 DarkSword. O relatório descreveu infecção automática quando conteúdo malicioso era carregado em um dispositivo vulnerável.
CertiK pede que usuários substituam frases de recuperação expostas
A CertiK aconselhou usuários de iPhone a instalar as atualizações disponíveis por meio de Ajustes, Geral e Atualização de Software, evitar links desconhecidos e manter as frases semente fora de Fotos, Notas e capturas de tela.
Suas recomendações incluíam carteiras de hardware para participações significativas e o Modo de Bloqueio para usuários de maior risco. O Google recomendou o Modo de Bloqueio onde a atualização não era possível.
Em caso de suspeita de comprometimento, a CertiK instruiu os usuários a mover os fundos para uma nova carteira criada em um dispositivo limpo e atualizado e nunca reutilizar a frase semente antiga.
Separadamente, a iVerify recomendou alterar as senhas armazenadas no chaveiro do telefone afetado.
