بهره برداری از آیفون DarkSword، کیف پول های رمزنگاری را در معرض خطر قرار می دهد

CertiK هشدار داده است که مهاجمان از یک نسخه جدید از کیت بهره برداری DarkSword iOS برای هدف قرار دادن کیف پول های رمزنگاری در آیفون های بدون قفل استفاده می کنند، با یک صفحه Safari به اندازه کافی برای سازش یک دستگاه.

CertiK، در یک هشدار ششم نوامبر، گفت که این حمله نیازی به کاربران برای اتصال کیف پول یا تایید معامله ندارد. موضوع آن به نام MetaMask، Trust Wallet، Phantom، Exodus و Coinbase در میان برنامه های کاربردی که ظاهرا هدف قرار گرفته اند، در کنار کلمات عبور و عبارات بازیابی ذخیره شده در جای دیگر در تلفن.

باز کردن یک سایت مخرب در Safari می تواند کافی باشد: هیچ اتصال کیف پول، بدون امضای مورد نیاز، شرکت امنیتی نوشت.

هشدار به دنبال تحقیقات جداگانه در مورد زنجیره بهره برداری اصلی DarkSword، یک نوع جاسوسی به روز شده در ماه اکتبر افشا شده و زیرساخت های تبلیغاتی مورد استفاده برای تحویل آن است.

DarkSword از شش نقص برای سازش آیفون های آسیب پذیر استفاده می کند

تحقیقات Google Threat Intelligence Group 18 مارس یک زنجیره پشتیبانی از iOS 18.4 را از 18.7 ثبت کرد. با ترکیب شش آسیب پذیری، مهاجمان می توانند دستگاه ها را به خطر بیندازند و نرم افزار را نصب کنند که اطلاعات حساس را جمع آوری کرد.

گوگل سه خانواده بدافزار را پس از بهره برداری موفق شناسایی کرد: GHOSTBLADE، GHOSTKNIFE و GHOSTSABER. قابلیت های آنها متفاوت است، با برخی از دستورات از راه دور و دیگران جمع آوری داده بدون عمل به طور مداوم.

در میان اطلاعات جمع آوری شده توسط GHOSTBLADE داده های کیف پول رمزنگاری شده، زنجیره های کلیدی دستگاه، سوابق پیام رسانی، اطلاعات مرورگر، پایگاه داده های یادداشت و رسانه های شخصی بود. گوگل کمپین هایی را علیه مردم عربستان، ترکیه، مالزی و اوکراین مشاهده کرد که شامل فروشندگان نظارت تجاری و بازیگران تحت حمایت دولت است.

این فعالیت به حداقل نوامبر 2025 بازمی گردد. گوگل اعلام کرد که این آسیب پذیری ها را در اواخر آن سال به اپل گزارش کرده و همه آن ها توسط انتشار iOS 26.3، با ثابت ترین موارد، پچ شده اند.

یافته های آن، حملات علیه سیستم عامل های آسیب پذیر را توصیف کرد، نه نیاز به قربانیان برای اجازه دسترسی از طریق یک برنامه رمزنگاری.

P7 DarkSword به مهاجمان کنترل از راه دور بر جمع آوری داده ها می دهد

شرکت امنیتی موبایل iVerify در گزارش 8 اکتبر نسخه P7 را فاش کرد و پس از بررسی عفونت شناسایی شده در دستگاه مشتری در ماه اوت.

محققان با تغییرات در نظر گرفته شده برای کاهش ردپای آن، بهبود ثبات و پشتیبانی از ارتباطات دو طرفه با زیرساخت های تحت کنترل مهاجم، امنیت خود را بهبود بخشید. P7 برخی از ورود را حذف کرد، تزریق فرآیند را کاهش داد و از ذخیره سازی مرورگر برای جلوگیری از بهره برداری مکرر استفاده کرد.

لیست دستور آن شامل یک تابع برای شناسایی برنامه های کیف پول نصب شده و دیگری برای استخراج اطلاعات مربوط به کیف پول از imToken بود. سایر دستورات، پایگاه های داده، عکس ها، فایل های کاربردی و اطلاعات دستگاه را جمع آوری کردند.

ایمپلنت هر 15 ثانیه به طور پیش فرض سرور خود را بررسی کرد، اگرچه اپراتورهای می توانند این فاصله را تغییر دهند. این رقم توضیح می دهد که چگونه اغلب دستورات را درخواست می کند، نه یک برنامه ثابت برای سرقت پول یا استخراج محتویات کیف پول.

در مقایسه با نسخه های قبلی که یک پایگاه داده زنجیره ای کلیدی را برای پردازش ارسال کردند، P7 اطلاعات کلیدی را در گوشی قبل از انتقال پردازش، بر اساس iVerify پردازش کرد.

تبلیغات مخرب DarkSword را بدون کلیک لینک تحویل داده اند

یک بررسی 21 اکتبر توسط iVerify و Report URI از طریق تبلیغات مخرب و ادغام وب سایت های رها شده تحویل داده شده است.

در یک مورد، یک تبلیغات جهانی اینستاگرام یک کارمند را آلوده کرد در حالی که فرد از طریق خوراک خود حرکت کرد. یک گروه جداگانه پس از آن به همان کارمند از طریق یک پیوند مخرب با حمل یک نوع DarkSword حمله کرد.

گزارش URI یک کمپین به نام DeadTag را به دامنه های منقضی شده که قبلا توسط تجزیه و تحلیل و خدمات تبلیغاتی مورد استفاده قرار گرفته است، ردیابی کرد. مهاجمان دامنه ها را خریداری کردند و ادغام های استفاده شده هنوز در وب سایت ها برای هدایت بازدید کنندگان تعبیه شده است.

محققان صدها دامنه ثبت شده مجدد را در هزاران سایت شناسایی کردند. شبکه مشاهده شده آنها 135 میلیون بازدید ماهانه دریافت کرده است، یک برآورد ترافیک که قادر به خدمت به بهره برداری در هنگام ملاقات با شرایط مهاجمان است.

این تحقیق شامل یک صفحه جعلی Polymarket است که هر دو Coruna و P7 DarkSword را ارائه می دهد. این گزارش زمانی که محتوای مخرب در یک دستگاه آسیب پذیر بارگذاری می شود، عفونت خودکار را توصیف کرد.

CertiK از کاربران درخواست می کند تا جایگزین عبارات بازیابی شده شوند

CertiK به کاربران آیفون توصیه کرد تا به روز رسانی های موجود را از طریق تنظیمات، عمومی و به روز رسانی نرم افزار نصب کنند، از لینک های ناشناخته اجتناب کنند و عبارات بذر را از Photos، یادداشت ها و تصاویر نگه دارند.

توصیه های آن شامل کیف پول های سخت افزاری برای نگهداری های قابل توجه و حالت Lockdown برای کاربران پرخطر است. گوگل حالت Lockdown را توصیه کرد که در آن به روز رسانی امکان پذیر نبود.

برای سازش مشکوک، CertiK به کاربران دستور داد تا پول خود را به کیف پول جدیدی منتقل کنند که در یک دستگاه تمیز و به روز شده ایجاد شده و هرگز از عبارت بذر قدیمی استفاده نکنند.

به طور جداگانه، iVerify توصیه می کند که کلمات عبور ذخیره شده در زنجیره کلید تلفن آسیب دیده را تغییر دهید.