P7 DarkSword krade Keychain i kripto-novčanike sa iPhone uređaja
iVerify je dokumentovao do sada nepoznatu varijantu napadačkog alata DarkSword. P7 smanjuje trag na uređaju, izvlači Keychain u JSON formatu pre slanja i dodaje dvosmernu komunikaciju sa C2 serverom.
Nova varijanta napadačkog alata DarkSword, nazvana P7 DarkSword, krade podatke iz Keychain i kripto-novčanika sa iPhone uređaja, saopštila je kompanija iVerify. U odnosu na ranije varijante, P7 smanjuje trag na uređaju, izvlači Keychain podatke u JSON formatu pre slanja i dodaje dvosmernu komunikaciju sa C2 serverom.
DarkSword je ranije opisan i cilja iPhone sa iOS verzijama od 18.4 do 18.7. Koristi lanac ranjivosti da pobegne iz izolovanog okruženja pregledača, podigne ovlašćenja i ubaci implant u SpringBoard proces. P7 varijanta svakih 15 sekundi proverava komande i može izvršavati sistemske komande, čitati datoteke, skenirati disk i izvlačiti podatke iz aplikacija kao što je imToken.
Zlonamerni JavaScript koji isporučuje P7 DarkSword primećen je na sajtovima koji još učitavaju oznaku za praćenje sa ugašenog domena ecomtrack.io. Domen je ponovo registrovan i koristi se za ubacivanje zlonamernog koda, koji u jednom slučaju isporučuje ceo iOS lanac i špijunski softver. U otvorenim direktorijumima Censys je našao komponente alata i dve ranjivosti: CVE-2025-24201 u WebKit, zakrpljenu u iOS 18.3.2, i CVE-2025-31200 u Core Audio, zakrpljenu u iOS 18.4.1.
Pokušaji za iOS 26.x su za sada neuspešni, ali napadači aktivno rade na novim varijantama.
Šta uraditi
- Ažurirati iPhone i iPad na najnoviji iOS, jer su pomenute ranjivosti zakrpljene u 18.3.2 i 18.4.1.
- Proveriti veb sajt firme da li učitava skripte sa napuštenih domena poput ecomtrack.io i ukloniti ih.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove