darksword

Cơ quan an ninh SlowMist đã phát hành một báo cáo tình báo đe dọa sâu về backend của Trojan DarkSword và chuỗi tấn công iOS. Báo cáo theo dõi quá trình phát triển của cơ sở hạ tầng tấn công này và tiết lộ mức độ nguy hiểm cao của nó đối với người dùng tài sản tiền điện tử.Theo phân tích của SlowMist, kể từ khi mã khai thác lỗ hổng liên quan được công khai vào tháng 3 năm 2026, DarkSword-PROV2 đã xuất hiện trên GitHub vào tháng 7, và cơ sở hạ tầng tấn công của nó đã được quan sát hoạt động vào cuối tháng 9.Đội ngũ SlowMist không chỉ theo dõi cơ sở hạ tầng trực tuyến của nó mà còn liên kết bảng điều khiển quản lý của nó với kho GitHub công khai, và đã phân tích mã khai thác lỗ hổng, chuỗi giao hàng và khả năng khai thác sau khi tấn công. Báo cáo chỉ ra một số phát hiện quan trọng của khung tấn công này: quy trình tấn công hoàn chỉnh tự động hóa cao, tích hợp chức năng khai thác lỗ hổng, thu thập thiết bị và dữ liệu, đánh cắp dữ liệu và tập hợp quỹ từ ví tiền điện tử.Khả năng đánh cắp dữ liệu rộng rãi và sâu sắc, bộ công cụ này không chỉ nhắm đến chuỗi khóa, tệp và thông tin, mà còn đặc biệt nhắm đến dữ liệu ví tiền điện tử, có khả năng giải mã dữ liệu ví và tập hợp quỹ. Mặc dù bộ công cụ này tuyên bố hỗ trợ iOS 13 và các phiên bản cao hơn, nhưng phân tích mã xác nhận rằng cửa sổ khai thác lỗ hổng thực sự hiệu quả tập trung vào hai phiên bản iOS 18.6--18.7.2 và iOS 26--26.1. Các thành phần lỗ hổng công khai đã được vũ khí hóa và tích hợp vào khung tấn công có thể triển khai, điều này đã giảm đáng kể ngưỡng để thực hiện các cuộc tấn công iOS phức tạp.Đối với mối đe dọa này, SlowMist đã đưa ra những khuyến nghị an ninh rõ ràng. Người dùng nên giữ cho hệ thống iOS của mình được cập nhật và tránh nhấp vào các liên kết không đáng tin cậy, vì chỉ cần mở trang độc hại trong trình duyệt Safari cũng có thể kích hoạt lỗ hổng. Nếu thiết bị đã truy cập vào các trang đích nghi ngờ, người dùng nên coi cụm từ ghi nhớ và khóa riêng là đã bị rò rỉ, và phải sử dụng một thiết bị sạch sẽ chưa bao giờ truy cập trang đó để tạo ví mới và chuyển tài sản.Ngoài ra, người dùng cũng cần kiểm tra toàn diện các giao dịch bất thường và ủy quyền token trên các chuỗi, và ngay lập tức thu hồi các ủy quyền không cần thiết.

Theo báo cáo của Cointelegraph, công ty an ninh blockchain SlowMist cho biết cuộc điều tra của họ chưa liên kết cuộc tấn công Safari trên iPhone gần đây gây ra cảnh báo an ninh với các sự kiện bị đánh cắp tiền điện tử đã được xác nhận.SlowMist đã cho Cointelegraph biết rằng họ chưa xác nhận độc lập có nạn nhân nào bị thiệt hại do mẫu tấn công Safari cụ thể mà họ phân tích, và các bằng chứng kỹ thuật mạnh nhất mà họ nắm giữ bao phủ các phiên bản iOS từ 18.4 đến 18.6.2. Công ty này cho biết, phạm vi "iOS 13 đến 26.5" mà bên ngoài lưu truyền nên được coi là đánh giá sơ bộ, và trước khi có được bằng chứng kỹ thuật có thể tái hiện, họ có xu hướng tránh tuyên bố rằng iOS 26.5 bị ảnh hưởng.SlowMist chỉ ra rằng cuộc tấn công Safari này đã tái sử dụng công nghệ chuỗi khai thác lỗ hổng DarkSword đã được tiết lộ trước đó, và độc lập với một cuộc điều tra khác liên quan đến các thành phần độc hại nhúng trong ứng dụng App Store mang tên FomoPeek. Nhóm tình báo đe dọa của Google (GTIG) đã tiết lộ DarkSword vào tháng 3, cho rằng đây là chuỗi khai thác lỗ hổng iOS đã được nhiều tác nhân đe dọa sử dụng kể từ tháng 11 năm 2025.

Công ty an ninh blockchain SlowMist, Giám đốc An ninh Thông tin 23pds cho biết, kẻ tấn công đang lợi dụng lỗ hổng Darksword, thông qua Safari để vượt qua cơ chế an ninh iOS, kiểm soát thiết bị và trích xuất khóa riêng cùng các dữ liệu khác từ ví tiền điện tử tự quản. Lỗ hổng này đã được sử dụng để tấn công người dùng ở Ả Rập Saudi, Thổ Nhĩ Kỳ, Malaysia và Ukraine. Nhóm Tình báo Đe dọa Google trước đó đã tiết lộ, Darksword ban đầu chỉ ảnh hưởng đến các phiên bản iOS từ 18.4 đến 18.7.23pds cho biết, kẻ tấn công đã điều chỉnh nó cho iOS 26.5, nhưng đánh giá này vẫn chưa được xác nhận chính thức. Cuộc tấn công thường bắt đầu từ kỹ thuật xã hội, khi người dùng nhấp vào liên kết độc hại được gửi qua mạng xã hội hoặc ứng dụng giao tiếp, thiết bị có thể bị lấy quyền Root và trích xuất dữ liệu ví. Người dùng nên kịp thời cập nhật hệ thống điện thoại, tránh truy cập vào các liên kết trang web do người lạ gửi; ba nhà đầu tư khác đã mất gần 1,8 triệu đô la Bitcoin do tải xuống ứng dụng ví giả từ App Store chính thức của Apple và đã kiện Apple.

Theo thông tin từ đội ngũ an ninh Slow Mist, họ đã phát hiện một hoạt động tấn công giả mạo dịch vụ VPS miễn phí, nhắm vào trình duyệt Safari trên iPhone chạy phiên bản iOS 18.4 đến 18.6.2.Kẻ tấn công đã lợi dụng sáu lỗ hổng mang mã DarkSword để hình thành chuỗi tấn công hoàn chỉnh, bao gồm thực thi mã từ xa WebKit, thoát khỏi sandbox và đọc/ghi kernel, có thể lấy được tệp container ứng dụng và dữ liệu chuỗi khóa mà người dùng không hề hay biết, đồng thời ghi lại các đầu vào từ bàn phím khi các ví như imToken, TokenPocket hoặc TronLink đang ở chế độ nền.Đội ngũ Slow Mist cho biết, sáu lỗ hổng trên hiện đã được Apple khắc phục, và cuộc tấn công hiện tại thuộc về việc tái sử dụng chuỗi lỗ hổng n-day. Chỉ việc truy cập vào trang web độc hại không thể chứng minh trực tiếp rằng cụm từ ghi nhớ hoặc khóa riêng đã bị đánh cắp, vẫn cần phải xác minh thông qua việc thu thập chứng cứ từ thiết bị. Khuyến nghị người dùng iOS/iPadOS nhanh chóng nâng cấp hệ thống lên phiên bản 18.7.3 hoặc 26.3 trở lên.

The slow fog余弦 social media stated that the high-risk iOS attack framework DarkSword has been publicly leaked on channels such as GitHub and is being used for large-scale espionage attacks targeting cryptocurrency wallet holders.This attack program targets devices running iOS versions 18.4 to 18.7, utilizing vulnerabilities in the Safari browser through malicious web pages to achieve remote code execution, thereby stealing users' sensitive data. Attackers launch attacks using bait web pages that impersonate pornographic live streams, Tron energy stations, refund processes, and more.iPhone users running older versions of iOS, once they access such web pages using the Safari browser (even if they do not close the page), may have sensitive information such as plaintext private keys and mnemonic phrases stolen by malicious JavaScript code when unlocking the wallet app, which is then transmitted in real-time through channels like Telegram bots.

The Chief Information Security Officer of Slow Fog Technology, 23pds, posted on platform X reminding all users to update their iOS systems in a timely manner. The DarkSword attack program has been leaked, and its core capability is: to extract forensic-level data from iOS devices via HTTP interfaces.In actual attacks, attackers can use social engineering or watering hole attacks to lure users into falling victim, thereby stealing data from iPhones/iPads and uploading it to servers controlled by the attackers.