DarkSword использует цепочку эксплойтов против устройств на iOS
Кампания DarkSword использует цепочку эксплойтов для iOS от 18.4 до 18.7.2. Чтобы запустить её, достаточно посетить вредоносную страницу в Safari. Инфраструктура направляет более старые устройства в цепочку Coruna, которая, по сообщениям, охватывает iOS 13.0–17.2.1. Успешная эксплуатация затрагивала преимущественно iOS 18.6–18.7.2; экспериментальные полезные нагрузки рассчитаны на iOS 26.0–26.1.
Панели управления и инфраструктура
Операция использует административные панели на базе бэкенда FastAPI и фронтенда Vite. Публично доступная панель отслеживает посещения страниц, активации устройств, попытки эксплуатации уязвимостей, успешные компрометации и кражу данных. За один 30-дневный период она зафиксировала:
- 20 187 посещений страниц;
- 1 210 активаций устройств;
- 1 187 попыток эксплуатации уязвимостей;
- 10 успешных событий эксплуатации;
- девять случаев кражи данных.
Шаблоны посадочных страниц имитируют страницы раздачи криптовалюты, верификации WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta), обновления iOS, iCloud Photos и входа в Apple ID. Информация об устройствах и кампаниях регистрируется через JavaScript SDK. Для доставки вредоносной нагрузки и управления используются несколько доменов и ротация DNS-записей. Бэкенд и фреймворк развертывания в значительной степени совпадают с общедоступным репозиторием DarkSword-PROV2.
Эксплойты и постэксплуатация
Атакующие повторно использовали публичные компоненты эксплойтов и преимущественно изменили их, добавив переписывание хоста, повысив надёжность работы на более новых сборках iOS, добавив обработку данных аутентификации указателей и увеличив периоды ожидания, чтобы избежать перезагрузки Safari. Библиотека полезных нагрузок включает версионированные цепочки для нескольких поколений iOS, в том числе экспериментальные эксплойты разбора HEIF, связанные с CVE-2026-43818, и уязвимость начального этапа для iOS 26, обозначенную как CVE-2026-64766. Несколько полезных нагрузок остаются непроверенными или находятся в разработке.
Компоненты постэксплуатации позволяют собирать широкий набор данных:
- данные из Связки ключей и токены iCloud;
- данные криптовалютных кошельков, фотографии, контакты и SMS;
- геолокацию, пароли Wi-Fi и содержимое буфера обмена;
- сведения об активности в браузере или приложениях;
- данные с микрофона и камеры.
Среди целевых криптовалютных кошельков названы imToken, TokenPocket, TronLink, MetaMask, OKX, Coinbase, Exodus, BitKeep, Gate и Trust Wallet. Дополнительные функции включают выполнение командной строки, закрепление, туннелирование SOCKS5, эксфильтрацию через DNS, загрузку данных в открытом виде по HTTP и самоуничтожение.
Функции для работы с аккаунтами
Инфраструктура также содержит разрабатываемые функции для захвата аккаунтов WhatsApp и Telegram. Они включают извлечение идентификаторов, переписки и локальных баз данных.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
