darksword

Безопасное агентство SlowMist выпустило глубокий отчет о угрозах, касающихся бэкэнда трояна DarkSword и цепочки атак на iOS. Отчет отслеживает эволюцию этой атакующей инфраструктуры и раскрывает ее высокую опасность для пользователей криптоактивов.Согласно анализу SlowMist, после публикации кода эксплуатации уязвимости в марте 2026 года, DarkSword-PROV2 появился на GitHub в июле, а его атакующая инфраструктура была замечена в конце сентября в активном состоянии.Команда SlowMist не только отслеживала его онлайн-инфраструктуру, но и связала его панель управления с публичным репозиторием GitHub, а также разобрала код эксплуатации, цепочку доставки и возможности использования после взлома. В отчете указаны несколько ключевых находок этой атакующей структуры: высокоавтоматизированная полная цепочка атак, интегрирующая доставку уязвимостей, сбор данных с устройств, кражу данных и функции консолидации средств из криптокошельков.Широкие и глубокие возможности кражи данных, этот инструмент нацелен не только на ключевые цепочки, файлы и информацию, но и специально на данные криптокошельков, обладая способностью расшифровывать данные кошельков и консолидировать средства. Несмотря на то, что этот инструмент утверждает, что поддерживает iOS 13 и более поздние версии, анализ кода подтверждает, что его фактическое эффективное окно эксплуатации сосредоточено на версиях iOS 18.6--18.7.2 и iOS 26--26.1. Публичные компоненты уязвимостей были вооружены и интегрированы в развертываемую атакующую структуру, что значительно снизило порог для начала сложных атак на iOS.В ответ на эту угрозу SlowMist предоставила четкие рекомендации по безопасности. Пользователи должны поддерживать свою систему iOS в актуальном состоянии и избегать нажатия на ненадежные ссылки, так как просто открытие вредоносной страницы в браузере Safari может вызвать уязвимость. Если устройство когда-либо посещало подозрительные целевые страницы, пользователи должны считать свои мнемонические фразы и приватные ключи скомпрометированными и создать новый кошелек и перевести активы с чистого устройства, которое никогда не посещало эту страницу.Кроме того, пользователи должны тщательно проверить аномальные транзакции и авторизации токенов на всех цепочках и немедленно отменить ненужные авторизации.

Согласно отчету Cointelegraph, компания по безопасности блокчейнов SlowMist заявила, что ее расследование пока не связывает недавнюю атаку на Safari для iPhone, вызвавшую предупреждение о безопасности, с подтвержденными случаями кражи криптовалюты.SlowMist сообщила Cointelegraph, что пока не было независимо подтверждено, что жертвы пострадали из-за конкретных образцов атак Safari, которые она анализировала, и что имеющиеся у нее самые сильные технические доказательства охватывают версии iOS от 18.4 до 18.6.2. Компания утверждает, что распространенный внешний диапазон "iOS 13 до 26.5" следует рассматривать как предварительное суждение, и до получения воспроизводимых технических доказательств она склонна избегать утверждений о том, что iOS 26.5 была затронута.SlowMist отметила, что эта атака на Safari использовала ранее раскрытую цепочку эксплуатации уязвимости DarkSword и была независима от другого расследования FomoPeek, связанного с встраиванием вредоносных компонентов в приложения App Store. Команда угроз Google (GTIG) ранее в марте раскрыла DarkSword, назвав ее цепочкой эксплуатации уязвимости iOS, используемой несколькими злоумышленниками с ноября 2025 года.

Компания по безопасности блокчейна SlowMist, главный специалист по информационной безопасности 23pds, заявил, что злоумышленники используют уязвимость Darksword для обхода механизмов безопасности iOS через Safari, контролируя устройства и извлекая приватные ключи и другие данные из управляемых криптокошельков. Эта уязвимость ранее использовалась для атак на пользователей из Саудовской Аравии, Турции, Малайзии и Украины. Группа по угрозам Google Threat Intelligence ранее сообщила, что Darksword изначально затрагивала только версии iOS с 18.4 до 18.7.23pds сообщил, что злоумышленники адаптировали ее для iOS 26.5, но это утверждение еще не получило официального подтверждения. Атаки обычно начинаются с социальной инженерии: пользователи нажимают на вредоносные ссылки, отправленные через социальные сети или приложения для общения, после чего устройство может получить Root-доступ и извлечь данные кошелька. Пользователи должны своевременно обновлять операционную систему телефона и избегать посещения веб-сайтов, ссылки на которые отправляют незнакомцы; еще трое инвесторов потеряли почти 1,8 миллиона долларов в биткойнах из-за загрузки поддельных приложений для кошельков из официального App Store Apple и подали в суд на Apple.

Согласно информации от команды SlowMist, было зафиксировано нападение, замаскированное под бесплатный VPS-сервис, нацеленное на браузер Safari на iPhone с версиями iOS от 18.4 до 18.6.2.Злоумышленники использовали шесть уязвимостей, получивших кодовое название DarkSword, чтобы сформировать полную цепочку атак, охватывающую удаленное выполнение кода WebKit, побег из песочницы и чтение/запись в ядре, что позволяет без ведома пользователя получать файлы контейнеров приложений и данные ключей, а также записывать ввод с клавиатуры, когда такие кошельки, как imToken, TokenPocket или TronLink, находятся на переднем плане.Команда SlowMist сообщила, что все шесть уязвимостей в настоящее время были исправлены Apple, и текущее нападение является повторным использованием цепочки уязвимостей n-day. Простое посещение вредоносной страницы не может напрямую подтвердить, что мнемоническая фраза или приватный ключ были украдены, и необходимо провести подтверждение с помощью судебной экспертизы устройства. Рекомендуется пользователям iOS/iPadOS как можно скорее обновить систему до версии 18.7.3 или 26.3 и выше.

The slow fog余弦 social media stated that the high-risk iOS attack framework DarkSword has been publicly leaked on channels such as GitHub and is being used for large-scale espionage attacks targeting cryptocurrency wallet holders.This attack program targets devices running iOS versions 18.4 to 18.7, utilizing vulnerabilities in the Safari browser through malicious web pages to achieve remote code execution, thereby stealing users' sensitive data. Attackers launch attacks using bait web pages that impersonate pornographic live streams, Tron energy stations, refund processes, and more.iPhone users running older versions of iOS, once they access such web pages using the Safari browser (even if they do not close the page), may have sensitive information such as plaintext private keys and mnemonic phrases stolen by malicious JavaScript code when unlocking the wallet app, which is then transmitted in real-time through channels like Telegram bots.

The Chief Information Security Officer of Slow Fog Technology, 23pds, posted on platform X reminding all users to update their iOS systems in a timely manner. The DarkSword attack program has been leaked, and its core capability is: to extract forensic-level data from iOS devices via HTTP interfaces.In actual attacks, attackers can use social engineering or watering hole attacks to lure users into falling victim, thereby stealing data from iPhones/iPads and uploading it to servers controlled by the attackers.