P7 DarkSword крадёт данные с iPhone

В августе 2026 года исследователи выявили P7 DarkSword, ранее неизвестный вариант шпионского ПО DarkSword, заразивший iPhone. Образец обнаружили при криминалистическом анализе после аномального выявления DarkSword и создания подозрительных файлов в /private/var/tmp. Дополнительный поиск выявил связанные эксплойты и компоненты внедрения на подозрительном домене, что связало образец с семейством DarkSword.

Обозначение P7 происходит от префикса переменной p7_ в модифицированном коде. Вариант меняет кодовую базу, чтобы повысить скрытность, закрепиться на устройстве и красть данные. В нём удалено ведение отладочных журналов через HTTP-запросы и syslog, а активность внедрения кода в процессы снижена. Для предотвращения повторной эксплуатации используется localStorage браузера.

Данные Связки ключей P7 DarkSword преобразует в формат JSON непосредственно на скомпрометированном устройстве перед эксфильтрацией. В предыдущем варианте их копировали в базу данных Связки ключей для обработки на инфраструктуре злоумышленников. P7 DarkSword также поддерживает кражу данных криптографических кошельков.

Для связи с контролируемой злоумышленниками инфраструктурой имплант отправляет запросы к /beacon, по умолчанию каждые 15 секунд. Операторы могут удалённо изменить интервал командой sleep. Ответы на запросы содержат команды для выполнения на устройстве жертвы и обеспечивают двунаправленное управление. Имплант передаёт данные HTTP-запросами POST по протоколу HTTP/1.0 и использует жёстко заданную строку User-Agent для Safari на iPhone: Mozilla/5.0 (iPhone; CPU iPhone OS 18_5 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/18.5 Mobile/15E148 Safari/604.1. В конечной точке /p задана граница multipart-запроса ------HqBound.

Операторы используют HTTPS, однако имплант не выполняет строгую проверку сертификатов. Это потенциально позволяет перехватывать трафик, подменяя сертификат. Среди связанных с вариантом признаков обнаружения исследователи называют файлы в /private/var/tmp, использование localStorage браузера для предотвращения повторной эксплуатации, обращения к /beacon и жёстко заданные характеристики HTTP.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Автор: Технологии киберугроз

Технологии киберугроз – технологическая компания, специализирующаяся на решениях по анализу угроз для предприятий любого размера. Мы собираем, нормализуем, обогащаем информацию о киберугрозах со всего мира. Нашими источниками являют более 260 открытых фидов, более 100 открытых поставщиков Threat Intelligence-отчетов, открытые online sandbox, социальные сети и репозитории GitHub. Мы также предоставляем ряд сервисов по: семантическом анализу Threat Intelligence-отчетов и приведения их в машиночитаемый формат STIX 2.1, проверки IoC на потенциальные ложноположительные сработки, а также получению WHOIS-записей для доменных имен.

Комментарии: