darksword

안전 기관 SlowMist(슬로우미스트)는 DarkSword 트로이 목마 백엔드 및 iOS 공격 체인에 대한 심층 위협 정보 보고서를 발표했습니다. 보고서는 해당 공격 인프라의 진화 과정을 추적하고, 암호 자산 사용자에 대한 높은 위험성을 드러냈습니다.슬로우미스트 분석에 따르면, 2026년 3월 관련 취약점 이용 코드가 공개된 이후, DarkSword-PROV2는 7월에 GitHub에 등장했으며, 그 공격 인프라는 9월 하순에 온라인으로 운영되고 있는 것이 관찰되었습니다.슬로우미스트 팀은 온라인 인프라를 추적했을 뿐만 아니라, 관리 패널과 공개된 GitHub 저장소를 연관 지었으며, 취약점 이용 코드, 배포 체인 및 공격 후의 이용 능력을 분석했습니다. 보고서는 이 공격 프레임워크의 몇 가지 주요 발견을 지적했습니다: 높은 자동화의 완전한 공격 파이프라인, 취약점 배포, 장치 및 데이터 수집, 데이터 탈취 및 암호 지갑 자금 집합 기능이 통합되어 있습니다.광범위하고 심층적인 데이터 탈취 능력, 이 도구 키트는 키 체인, 파일 및 정보뿐만 아니라 암호 지갑 데이터에 특별히 초점을 맞추고 있으며, 지갑 데이터를 복호화하고 자금을 집합할 수 있는 능력을 갖추고 있습니다. 이 도구 키트는 iOS 13 및 그 이상의 버전을 지원한다고 주장하지만, 코드 분석 결과 실제로 유효한 취약점 이용 창은 iOS 18.6--18.7.2 및 iOS 26--26.1 두 버전 구간에 집중되어 있음을 확인했습니다. 공개된 취약점 구성 요소는 무기화되어 배포 가능한 공격 프레임워크에 통합되었으며, 이는 복잡한 iOS 공격을 시작하는 문턱을 크게 낮추었습니다.이 위협에 대해 슬로우미스트는 명확한 보안 권고를 제시했습니다. 사용자는 iOS 시스템을 업데이트하고, 신뢰할 수 없는 링크를 클릭하지 않아야 합니다. Safari 브라우저에서 악성 페이지를 여는 것만으로도 취약점이 발생할 수 있습니다. 만약 장치가 의심스러운 랜딩 페이지에 접근한 적이 있다면, 사용자는 직접적으로 니모닉과 개인 키가 유출된 것으로 간주해야 하며, 해당 페이지에 접근한 적이 없는 깨끗한 장치를 사용하여 새 지갑을 생성하고 자산을 이전해야 합니다.또한, 사용자는 각 체인에서 비정상 거래 및 토큰 권한을 전면적으로 점검하고, 불필요한 권한을 즉시 철회해야 합니다.

코인텔레그래프에 따르면, 블록체인 보안 회사 SlowMist는 최근 보안 경고를 유발한 iPhone Safari 공격과 확인된 암호화폐 도난 사건 간의 연관성을 조사 중이라고 밝혔다.SlowMist는 코인텔레그래프에 특정 Safari 공격 샘플로 인해 피해자가 발생했다는 독립적인 확인이 아직 이루어지지 않았으며, 그들이 보유한 가장 강력한 기술 증거는 iOS 18.4에서 18.6.2 버전을 포함한다고 전했다. 이 회사는 외부에서 유포된 "iOS 13에서 26.5"의 영향을 받는 범위는 초기 판단으로 간주되어야 하며, 재현 가능한 기술 증거를 확보하기 전까지 iOS 26.5가 영향을 받았다고 주장하는 것을 피하는 것이 바람직하다고 밝혔다.SlowMist는 해당 Safari 공격이 이전에 공개된 DarkSword 취약점 이용 체계를 재사용했으며, App Store 애플리케이션 내에 악성 구성 요소가 포함된 FomoPeek 조사와는 독립적이라고 지적했다. 구글 위협 정보 팀(GTIG)은 3월에 DarkSword를 공개하며, 이는 2025년 11월 이후 여러 위협 행위자들에 의해 사용된 iOS 취약점 이용 체계라고 밝혔다.

블록체인 보안 회사 SlowMist의 최고 정보 보안 책임자 23pds는 공격자들이 Darksword 취약점을 이용하여 Safari를 통해 iOS 보안 메커니즘을 우회하고, 장치를 제어하며 자가 호스팅된 암호화 지갑에서 개인 키 및 기타 데이터를 추출하고 있다고 밝혔습니다. 이 취약점은 사우디아라비아, 터키, 말레이시아 및 우크라이나 사용자에 대한 공격에 사용된 바 있습니다. Google 위협 정보 그룹은 Darksword가 처음에 iOS 18.4에서 18.7 버전만 영향을 미쳤다고 밝혔습니다.23pds는 공격자들이 이를 iOS 26.5에 맞게 조정했다고 주장했지만, 이 판단은 아직 공식적으로 확인되지 않았습니다. 공격은 일반적으로 사회 공학으로 시작되며, 사용자가 소셜 미디어나 통신 애플리케이션을 통해 전송된 악성 링크를 클릭하면 장치가 루트 권한을 얻고 지갑 데이터를 추출할 수 있습니다. 사용자는 즉시 휴대폰 시스템을 업데이트하고, 낯선 사람이 보낸 웹사이트 링크에 접근하지 않아야 합니다; 또한 세 명의 투자자는 애플 공식 App Store에서 가짜 지갑 애플리케이션을 다운로드하여 거의 180만 달러의 비트코인을 잃었고, 애플에 대해 소송을 제기했습니다.

느린 안개 보안 팀에 따르면, 무료 VPS 서비스로 위장한 공격 활동이 발견되었으며, 이는 iOS 18.4에서 18.6.2 버전의 iPhone Safari 브라우저를 대상으로 하고 있습니다.공격자는 DarkSword라는 코드명으로 6개의 취약점을 이용하여 완전한 공격 체인을 형성하였으며, 이는 WebKit 원격 코드 실행, 샌드박스 탈출 및 커널 읽기/쓰기를 포함합니다. 사용자가 인식하지 못하는 사이에 App 컨테이너 파일과 키체인 데이터를 획득하고, imToken, TokenPocket 또는 TronLink와 같은 지갑이 전면에 있을 때 키보드 입력을 기록할 수 있습니다.느린 안개 팀은 위의 6개 취약점이 현재 Apple에 의해 수정되었으며, 현재 공격은 n-day 취약점 체인의 재사용에 해당한다고 밝혔습니다. 악성 페이지에 접근하는 것만으로는 니모닉 또는 개인 키가 도난당했음을 직접적으로 증명할 수 없으며, 여전히 장치 포렌식을 통해 확인해야 합니다. iOS/iPadOS 사용자에게는 가능한 한 빨리 시스템을 18.7.3 또는 26.3 이상의 버전으로 업그레이드할 것을 권장합니다.

느림보 여진 소셜 미디어는 고위험 iOS 공격 프레임워크 DarkSword가 GitHub 등 채널에서 공개 유출되었으며, 암호화폐 지갑 소지자를 대상으로 대규모 도청 공격에 사용되고 있다고 밝혔습니다.이 공격 프로그램은 iOS 18.4에서 18.7 버전의 장치를 대상으로 하며, 악성 웹페이지를 통해 Safari 브라우저의 취약점을 이용하여 원격 코드 실행을 구현하고, 사용자 민감 데이터를 탈취합니다. 공격자는 가짜 성인 라이브 방송, 트론 에너지 스테이션, 환불 프로세스 등의 미끼 웹페이지를 이용하여 공격을 시작합니다.구버전 iOS를 실행하는 iPhone 사용자가 Safari 브라우저를 통해 이러한 웹페이지에 접근하면(페이지를 닫지 않더라도), 이후 지갑 앱을 잠금 해제할 때 평문 개인 키 및 니모닉과 같은 민감 정보가 악성 JavaScript 코드에 의해 탈취되어, Telegram 봇 등의 경로를 통해 실시간으로 전송될 수 있습니다.

슬로우 미스트 테크놀로지의 최고 정보 보안 책임자 23pds가 X 플랫폼에 글을 올려 모든 사용자에게 iOS 시스템을 즉시 업데이트할 것을 알렸습니다. DarkSword 공격 프로그램이 유출되었으며, 그 핵심 능력은 HTTP 인터페이스를 통해 iOS 장치에서 포렌식 수준의 데이터를 추출하는 것입니다.실제 공격에서 공격자는 사회 공학 또는 수로 공격을 결합하여 사용자가 피해를 입도록 유도하고, 그 결과 iPhone/iPad 내의 데이터를 훔쳐 공격자가 제어하는 서버에 업로드할 수 있습니다.