CertiK警告：DarkSword iPhone漏洞利用链正瞄准加密钱包
CertiK警告称，攻击者正利用较新的 DarkSword iOS 漏洞利用工具包版本，瞄准未打补丁的 iPhone 上的加密钱包；只需一个恶意 Safari 页面，就可能足以攻陷设备。
- Google 记录的 DarkSword 攻击链基于六个漏洞，影响 iOS 18.4 至 18.7。
- P7 版 DarkSword 支持扫描钱包、收集凭证，并在被攻陷手机上执行远程命令。
- 研究人员观察到，用户在浏览 Instagram 信息流时，恶意广告会投递该恶意软件。
- CertiK 建议更新 iOS，并将暴露资金转移到使用全新恢复短语的钱包中。
CertiK 在 11 月 6 日的警告中表示，这种攻击不需要用户连接钱包，也不需要批准交易。该公司在其帖文中点名称，MetaMask、Trust Wallet、Phantom、Exodus 和 Coinbase 等应用据称都在目标之列，此外还包括存储在手机其他位置的密码和恢复短语。
这家安全公司写道：“只需在 Safari 中打开一个恶意网站，就可能已经足够：不需要连接钱包，也不需要签名。”
这项警告发布前，外界已分别对 DarkSword 最初的漏洞利用链、10 月披露的更新版间谍软件变种，以及用于投递该软件的广告基础设施展开调查。
DarkSword 利用六个漏洞攻陷易受攻击的 iPhone
Google 威胁情报小组在 3 月 18 日的研究中记录了一条适用于 iOS 18.4 至 18.7 的攻击链。通过组合六个漏洞，攻击者可以攻陷设备，并安装收集敏感信息的软件。
Google 识别出在成功利用后投递的三个恶意软件家族：GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER。它们的能力各不相同，其中一些支持远程命令，另一些则在不持续运行的情况下收集数据。
Google 表示，GHOSTBLADE 收集的信息包括加密货币钱包数据、设备钥匙串、消息记录、浏览器信息、备忘录数据库以及个人媒体内容。Google 观察到，相关行动针对的是沙特阿拉伯、土耳其、马来西亚和乌克兰的人员，涉及商业监控供应商和疑似国家支持的行为者。
Google 称，这些活动最早可追溯至 2025 年 11 月。该公司表示，其在当年晚些时候将这些漏洞报告给了苹果，而在 iOS 26.3 发布时，所有漏洞都已被修补，其中大多数更早就已修复。
Google 的发现描述的是针对易受攻击操作系统的攻击，而不是要求受害者必须通过某个加密应用授权访问。
P7 版 DarkSword 让攻击者可远程控制数据收集
移动安全公司 iVerify 在 10 月 8 日的一份报告中披露了 P7 变种，此前该公司调查了 8 月在一名客户设备上发现的一次感染事件。
研究人员恢复出一款间谍软件，其改动意在降低存在痕迹、提升稳定性，并支持与攻击者控制的基础设施进行双向通信。P7 去除了一些日志记录、减少了进程注入，并利用浏览器存储来防止重复利用。
其命令列表中包括一个用于识别已安装钱包应用的功能，以及另一个用于从 imToken 提取钱包相关数据的功能。其他命令则会收集 Apple Notes 数据库、照片、应用文件和设备信息。
该植入程序默认每 15 秒向其服务器检查一次指令，不过操作者可以修改这一间隔。文中的这一数字描述的是它请求命令的频率，并不意味着存在一个固定的盗取资金或提取钱包内容时间表。
据 iVerify 称，与早期版本将钥匙串数据库发送出去再处理不同，P7 会先在手机上处理钥匙串信息，然后再传输。
恶意广告可在无需点击链接的情况下投递 DarkSword
iVerify 和 Report URI 在 10 月 21 日的一项调查记录了通过恶意广告和被弃用网站集成进行投递的情况。
其中一个案例中，一则世界杯主题的 Instagram 广告在一名员工浏览信息流时感染了其设备。随后，另一个团体又通过携带另一种 DarkSword 变种的恶意链接，对同一名员工发起攻击。
Report URI 将一个名为 DeadTag 的活动追踪到此前被分析和广告服务使用、但已过期的域名。攻击者购买了这些域名，并利用仍嵌入网站中的集成代码来重定向访客。
研究人员识别出数百个被重新注册的域名，这些域名嵌入在数千个网站中。他们观察到的网络每月接收 1.35 亿次访问；这一流量估算覆盖的是那些在访客满足攻击者设定条件时，可能投递漏洞利用的网站。
调查还包括一个伪造的 Polymarket 页面，该页面会投递 Coruna 和 P7 DarkSword。报告称，当恶意内容在易受攻击设备上加载时，感染会自动发生。
CertiK敦促用户更换已暴露的恢复短语
CertiK 建议 iPhone 用户通过“设置—通用—软件更新”安装可用更新，避免点击未知链接，并且不要把助记词保存在照片、备忘录和截图中。
其建议还包括：对于大额持仓使用硬件钱包；对于风险更高的用户启用 Lockdown Mode。Google 也建议，在无法更新系统时使用 Lockdown Mode。
对于疑似已被攻陷的情况，CertiK 指示用户将资金转移到一台干净且已更新设备上新创建的钱包中，并且绝不要重复使用旧助记词。
另外，iVerify 建议更改存储在受影响手机钥匙串中的密码。
