Медленный туман: атака DarkSword в iOS Safari может украсть ввод кошелька, нулевое нажатие запускает цепочку из шести уязвимостей

Согласно информации от команды SlowMist, было зафиксировано нападение, замаскированное под бесплатный VPS-сервис, нацеленное на браузер Safari на iPhone с версиями iOS от 18.4 до 18.6.2.

Злоумышленники использовали шесть уязвимостей, получивших кодовое название DarkSword, чтобы сформировать полную цепочку атак, охватывающую удаленное выполнение кода WebKit, побег из песочницы и чтение/запись в ядре, что позволяет без ведома пользователя получать файлы контейнеров приложений и данные ключей, а также записывать ввод с клавиатуры, когда такие кошельки, как imToken, TokenPocket или TronLink, находятся на переднем плане.

Команда SlowMist сообщила, что все шесть уязвимостей в настоящее время были исправлены Apple, и текущее нападение является повторным использованием цепочки уязвимостей n-day. Простое посещение вредоносной страницы не может напрямую подтвердить, что мнемоническая фраза или приватный ключ были украдены, и необходимо провести подтверждение с помощью судебной экспертизы устройства. Рекомендуется пользователям iOS/iPadOS как можно скорее обновить систему до версии 18.7.3 или 26.3 и выше.