P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands
The Hacker News · 9 oct, 18:29
Qué hacer: Actualiza iOS a la última versión disponible y aplica todos los parches de seguridad, especialmente iOS 18.3.2 o posterior.
Investigadores de ciberseguridad han divulgado detalles de P7 DarkSword, una variante del kit de exploit para iOS que añade robo de datos de carteras criptográficas, comunicación bidireccional con servidores C2 y comandos remotos. El kit ha sido utilizado por múltiples actores de amenaza, incluyendo un vendedor turco de vigilancia comercial y actores alineados con Rusia, contra dispositivos en Arabia Saudí, Turquía, Malasia y Ucrania. Esta variante reduce la huella del dispositivo y mejora el sigilo mediante la eliminación del registro de depuración y el almacenamiento de datos en el propio teléfono antes de la exfiltración.
P7 DarkSword representa una evolución del kit de exploit que encadena múltiples vulnerabilidades de iOS para escapar del sandbox del navegador, escalar a privilegios de kernel e inyectar la carga útil principal en SpringBoard. El kit fue detectado inicialmente en marzo de 2026 por Google Threat Intelligence Group, iVerify y Lookout, afectando a iOS 18.4-18.7. Se cree que el exploit es un producto comercial que llegó al mercado de segunda mano y fue adquirido por operadores motivados financieramente desde finales de 2025.
La nueva variante P7 elimina el registro de depuración HTTP y syslog, usa localStorage del navegador para prevenir re-explotación, y extrae datos del keychain a JSON en el teléfono antes de la exfiltración. El implante inyectado en SpringBoard realiza sondeos cada 15 segundos para recibir comandos remotos incluyendo ejecución de órdenes del sistema, descarga de archivos, escaneo de fotogramas criptográficos, extracción de datos de aplicaciones de cartera como imToken, y escaneo del sistema de archivos. Investigadores de Censys identificaron cinco hosts con componentes relacionados con DarkSword y Coruna, otro kit de exploit para iOS que trabaja en conjunto para robar frases de recuperación criptográficas y datos de keystore.
Puntos clave
- Afecta a iOS 18.4-18.7 y versiones anteriores hasta iOS 13.0
- Encadena múltiples vulnerabilidades CVE para escapar sandbox y escalar a kernel
- Capacidades: robo de keychain, carteras criptográficas, notas, fotos y ejecución remota de comandos
- Utilizado por actores turcos, rusos y chino-hablantes contra múltiples países
- Servidores C2 identificados con dispositivos reales realizando sondeos cada tres segundos
Figuras de la fuente
