CertiK предупредила, что злоумышленники используют более новую версию iOS-эксплойт-кита DarkSword для атаки на криптокошельки на необновлённых iPhone, и вредоносной страницы Safari может быть достаточно для компрометации устройства.
Краткое содержание
- Цепочка DarkSword, задокументированная Google для iOS 18.4–18.7, основана на шести уязвимостях.
- P7 DarkSword поддерживает сканирование кошельков, сбор учётных данных и удалённые команды на скомпрометированных телефонах.
- Исследователи наблюдали, как вредоносные рекламные объявления доставляли вредоносное ПО, пока пользователи листали свои ленты Instagram.
- CertiK рекомендует обновить iOS и перевести скомпрометированные средства в кошелёк с новой фразой восстановления.
CertiK в предупреждении от 6 ноября заявила, что атака не требует от пользователей подключения кошелька или одобрения транзакции. В её треде среди предположительно атакованных приложений названы MetaMask, Trust Wallet, Phantom, Exodus и Coinbase, а также пароли и фразы восстановления, хранящиеся в других местах на телефоне.
«Достаточно просто открыть вредоносный сайт в Safari: не нужно ни подключения кошелька, ни подписи», — написала компания по безопасности.
Предупреждение последовало за отдельными расследованиями исходной цепочки эксплойтов DarkSword, обновлённого варианта шпионского ПО, раскрытого в октябре, и рекламной инфраструктуры, использовавшейся для его доставки.
DarkSword использует шесть уязвимостей для компрометации уязвимых iPhone
Исследование Google Threat Intelligence Group от 18 марта задокументировало цепочку, поддерживающую iOS 18.4–18.7. Комбинируя шесть уязвимостей, злоумышленники могли компрометировать устройства и устанавливать программное обеспечение, собиравшее конфиденциальную информацию.
Google выявила три семейства вредоносного ПО, доставляемых после успешной эксплуатации: GHOSTBLADE, GHOSTKNIFE и GHOSTSABER. Их возможности различались: некоторые поддерживали удалённые команды, другие собирали данные, не работая непрерывно.
Среди информации, собранной GHOSTBLADE, были данные криптовалютных кошельков, связки ключей устройства, записи сообщений, информация браузера, базы данных Notes и личные медиафайлы. Google наблюдала кампании против людей в Саудовской Аравии, Турции, Малайзии и Украине с участием коммерческих поставщиков средств слежки и предполагаемых акторов, спонсируемых государством.
Активность восходит как минимум к ноябрю 2025 года. Google сообщила, что уведомила Apple об уязвимостях в конце того года и что все они были устранены к выпуску iOS 26.3, причём большинство — раньше.
Её выводы описывали атаки на уязвимые операционные системы, а не требование к жертвам авторизовать доступ через криптоприложение.
P7 DarkSword даёт злоумышленникам удалённый контроль над сбором данных
Компания по мобильной безопасности iVerify раскрыла вариант P7 в отчёте от 8 октября после расследования заражения, обнаруженного на устройстве клиента в августе.
Исследователи восстановили шпионское ПО с изменениями, предназначенными для уменьшения его следа, повышения стабильности и поддержки двусторонней связи с инфраструктурой, контролируемой злоумышленниками. P7 удалил часть логирования, сократил внедрения процессов и использовал хранилище браузера для предотвращения повторной эксплуатации.
Его список команд включал функцию для определения установленных приложений-кошельков и другую для извлечения связанных с кошельком данных из imToken. Другие команды собирали базы данных Apple Notes, фотографии, файлы приложений и информацию об устройстве.
Имплант по умолчанию проверял свой сервер на наличие инструкций каждые 15 секунд, хотя операторы могли изменить этот интервал. Эта цифра описывает, как часто он запрашивал команды, а не фиксированный график кражи средств или извлечения содержимого кошелька.
По сравнению с более ранними версиями, которые отправляли базу данных связки ключей на обработку, P7 обрабатывал информацию связки ключей на телефоне перед передачей, согласно iVerify.
Вредоносная реклама доставляла DarkSword без клика по ссылке
Расследование iVerify и Report URI от 21 октября задокументировало доставку через вредоносные рекламные объявления и заброшенные интеграции веб-сайтов.
В одном случае реклама в Instagram, посвящённая чемпионату мира, заразила устройство сотрудника, пока тот просматривал свою ленту. Позже отдельная группа атаковала того же сотрудника через вредоносную ссылку, содержащую другой вариант DarkSword.
Report URI отследила кампанию под названием DeadTag до истёкших доменов, ранее использовавшихся аналитическими и рекламными сервисами. Злоумышленники купили домены и использовали интеграции, всё ещё встроенные в веб-сайты, для перенаправления посетителей.
Исследователи выявили сотни повторно зарегистрированных доменов, встроенных в тысячи сайтов. Наблюдаемая ими сеть получала 135 миллионов посещений в месяц — оценка трафика, охватывающая сайты, способные доставлять эксплойты, когда посетители соответствовали условиям злоумышленников.
Расследование включало поддельную страницу Polymarket, доставляющую как Coruna, так и P7 DarkSword. В отчёте описывалось автоматическое заражение при загрузке вредоносного контента на уязвимое устройство.
CertiK призывает пользователей заменить скомпрометированные фразы восстановления
CertiK рекомендовала пользователям iPhone устанавливать доступные обновления через «Настройки», «Основные» и «Обновление ПО», избегать неизвестных ссылок и держать seed-фразы вне «Фото», «Заметок» и скриншотов.
Её рекомендации включали аппаратные кошельки для значительных средств и режим блокировки для пользователей с повышенным риском. Google рекомендовал режим блокировки там, где обновление было невозможно.
При подозрении на компрометацию CertiK предписывала пользователям перевести средства в новый кошелёк, созданный на чистом обновлённом устройстве, и никогда не повторно использовать старую seed-фразу.
Отдельно iVerify рекомендовала сменить пароли, хранящиеся в связке ключей затронутого телефона.
