Оператор использует DarkSword и Coruna для кражи данных кошельков

Китайскоязычный оператор использует цепочку эксплойтов DarkSword для iOS и связанную с ней платформу Coruna, чтобы красть данные кошельков. Инфраструктура, активная в сентябре 2026 года, включает открытые каталоги и серверы управления. По имеющимся данным, в управляющей плоскости платформы было 75 учётных записей, в 179 каталогах хранились данные устройств, а у жертв обнаружили 11 фраз восстановления.

Как DarkSword и Coruna крадут данные кошельков

DarkSword эксплуатирует уязвимости в WebKit и JavaScriptCore. Цепочка выполняет код в браузере, выходит из песочницы, получает привилегии ядра и внедряется в SpringBoard. Затем Coruna загружает компоненты поэтапно: bootstrap-маяк, контроллер plasma и основное вредоносное ПО.

Вредоносное ПО отслеживает приложения-кошельки и внедряет соответствующие модули в работающие процессы. Восемнадцать модулей предназначены для кошельков, в том числе для следующих приложений:

• Bitpie;
• Coinbase;
• Exodus;
• imToken;
• MetaMask;
• Phantom;
• Trust Wallet;
• Uniswap;
• OKX.

Вредоносное ПО также ищет в фотографиях и заметках фразы восстановления BIP39, прошедшие проверку контрольной суммы, собирает данные кошельков и хранилищ ключей и может похищать контакты и другие сведения об устройстве. Среди общих возможностей платформы перечислены шифрование AES с зашитыми в код параметрами, алгоритм генерации доменных имён, несколько конечных точек для эксфильтрации, поддельные пользовательские агенты Safari и отключённая проверка TLS.

Платформа использует модель агент/реселлер. Её инфраструктура охватывает доставку эксплойтов, сбор телеметрии о жертвах, размещение полезной нагрузки, среды для анализа и административную панель C2.

Другие цепочки и инфраструктура оператора

Отдельная цепочка доставки gooll нацелена на устройства с версиями iOS от 13.0 до 17.2.1. На этапе работы в ядре она определяет характеристики устройства во время выполнения, используя данные сборки XNU, паттерны драйверов и доступные службы IOKit, а не таблицы фиксированных смещений. Цепочка применяет несколько бэкендов для доступа к памяти, обходит механизмы защиты Page Protection Layer и проверяет записи в ядре. Бинарные файлы не содержат сведений об используемых уязвимостях.

В реестре для производственной среды есть неподтверждённое утверждение о нулевом клике в CoreAudio, связанном с CVE-2025-31200. Оператор также разрабатывает цепочку эксплойтов для iOS 26 на основе CVE-2026-31001, уязвимости типа «путаница типов» в JavaScriptCore. Стадии выхода из песочницы и ядра пока остаются заглушками, а самопроверки завершаются с ошибкой. Цепочку не развёртывали, её не следует считать уязвимостью нулевого дня или действующей возможностью эксплуатации.

В образцах Wild с отдельным сервером управления 66ds[.]lol обнаружили модули BitKeep. С ними наблюдаемый набор целей составляет 19 кошельков. Инфраструктурные связи указывают на системы, размещённые на Tencent в Шанхае, и лабораторную инфраструктуру в Шэньяне.

По сообщениям, набор из 44 правил YARA обнаруживает проанализированные нагрузки Mach-O, стадии эксплойтов, координаторы и модули кошельков.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.