Pesquisadores de cibersegurança divulgaram detalhes de uma variante inédita do kit de exploração DarkSword para iOS chamada P7 DarkSword.
"Em comparação com as variantes que costumamos observar, o P7 reduz sua pegada no dispositivo, adiciona roubo de keychain (cadeia de chaves do sistema) e de carteiras de criptomoedas no próprio aparelho, e estabelece comunicação bidirecional com a infraestrutura do invasor por meio de C2 (Comando e Controle, na sigla em inglês)", afirmou a iVerify em um novo relatório publicado na quinta-feira.
O nome "P7" é uma referência ao uso, pelo agente de ameaça, do prefixo de variável "p7_" nas alterações feitas no código original do DarkSword.
O DarkSword foi documentado publicamente pela primeira vez no início de março pelo GTIG (Grupo de Inteligência de Ameaças do Google, na sigla em inglês), pela iVerify e pela Lookout, detalhando sua capacidade de atingir iPhones rodando versões do iOS entre 18.4 e 18.7. O kit foi detectado em ambiente real em novembro de 2025.
O kit de ferramentas foi projetado para encadear múltiplas vulnerabilidades do iOS a fim de escapar da sandbox (ambiente isolado de segurança) do navegador, escalar privilégios até o kernel (núcleo do sistema operacional) e injetar o payload principal no SpringBoard, o processo do iOS responsável pelo lançamento de aplicativos e pela tela inicial. A cadeia de exploração é avaliada como um produto comercial que, de alguma forma, acabou em um mercado de segunda mão, de onde foi adquirido por operadores com motivações financeiras e outros agentes de ameaça desde o final de 2025.
O kit de exploração tem sido usado em ataques contra Arábia Saudita, Turquia, Malásia e Ucrânia por múltiplos agentes de ameaça, incluindo um fornecedor comercial de vigilância turco chamado PARS Defense, por meio de um site falso com tema do Snapchat, e um agente alinhado à Rússia chamado Star Blizzard (também conhecido como COLDRIVER), que utiliza iscas de convites falsos.
Em agosto de 2026, a plataforma de gestão de superfície de ataque Censys detalhou uma campanha conduzida por um agente de ameaça desconhecido de língua chinesa que envolvia o direcionamento a dispositivos iOS da Apple com o kit de exploração, além de servir uma página de login falsa do Apple ID como isca.
Já no mês passado, a iVerify afirmou ter observado "múltiplas tentativas malsucedidas, provavelmente assistidas por LLM (Modelo de Linguagem de Grande Porte, na sigla em inglês), de atualizar a estrutura para suportar o iOS 26.x", impulsionadas pelo vazamento do kit de exploração logo após sua divulgação pública. Segundo a empresa de segurança mobile, essas variantes são focadas em estabilidade, discrição e qualidade dos dados roubados.
A iVerify disse ao The Hacker News que também viu, em raras ocasiões, o DarkSword e o Coruna empacotados juntos, chamando a implantação combinada de DarkCoruna.
"Acreditamos que esses invasores obtiveram o código-fonte do kit de exploração Coruna e o modificaram", afirmou a iVerify. "Não havia sinais de patch binário envolvido; grandes alterações de código foram feitas e compiladas em novos binários."
"Muitas variantes empacotadas que vemos são tentativas malfeitas geradas por IA (Inteligência Artificial). Atacantes pouco sofisticados estão implantando versões quebradas e não funcionais do Coruna e do DarkSword corrigidos, vindas do GitHub. No entanto, não podemos descartar a possibilidade de que invasores que não consigam obter o código-fonte do Coruna façam engenharia reversa e o reimplementem com o auxílio de modelos de LLM; apenas não temos evidências de que isso esteja acontecendo ainda."
O P7 DarkSword representa uma evolução nesses aspectos, eliminando o registro de depuração via requisições HTTP (Protocolo de Transferência de Hipertexto, na sigla em inglês) e syslog, e utilizando o localStorage do navegador para evitar reexploração. Diferentemente de variantes anteriores, que copiavam e exfiltravam a base de dados do keychain para processamento na infraestrutura do invasor, a nova versão extrai os dados do keychain em formato JSON (Notação de Objetos JavaScript, na sigla em inglês) no próprio telefone antes da exfiltração.
"O implante é injetado no processo SpringBoard, que cuida de toda a comunicação com a infraestrutura do invasor", disse a iVerify.
A iteração mais recente é capaz de consultar comandos a cada 15 segundos, enviar uma mensagem de heartbeat (sinal periódico de atividade), enviar uma lista dos aplicativos instalados e transmitir informações do iCloud Keychain e dados de aplicativos como Apple Notes, Fotos e carteiras de criptomoedas.
A resposta à consulta periódica de tarefas contém comandos a serem executados no telefone da vítima. Isso inclui:
- execute_command: executa comandos do sistema operacional como ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat e whoami, entre outros;
- ls: lista o conteúdo de diretórios;
- download: lê um arquivo do dispositivo e o envia para o servidor C2;
- photos: envia arquivos de fotos a partir de "/var/mobile/Media/DCIM";
- apps: enumera os contêineres de aplicativos e extrai os bundle IDs (identificadores únicos de pacote);
- exec: executa JavaScript arbitrário diretamente dentro do ambiente de execução do implante;
- file_upload: varre recursivamente um ou mais caminhos e envia os arquivos correspondentes;
- basic_info: envia metadados do dispositivo para o servidor C2;
- disk_scan: varre recursivamente o sistema de arquivos a partir de "/", registra metadados de arquivos, diretórios e links simbólicos e envia as informações em formato de relatório;
- ios_app_data: localiza os contêineres de sandbox de aplicativos e os contêineres de grupos de apps para os bundle IDs solicitados e envia arquivos selecionados dos aplicativos;
- wallet_scan: procura por aplicativos de carteira instalados;
- wallet_extract: extrai dados relacionados à carteira do aplicativo imToken;
- memo_scan: envia os bancos de dados do Apple Notes;
- photo_scan: envia fotos do app Fotos da Apple;
- sleep: modifica o intervalo de polling do beacon (sinal periódico de comunicação);
- exit: interrompe o loop de beacon e encerra o implante.
Curiosamente, o mesmo exploit P7 DarkSword foi observado sendo distribuído por meio de um domínio associado a uma startup tcheca de análise de e-commerce que já encerrou suas atividades. Segundo a Report URI, agentes de ameaça desconhecidos re-registraram o domínio ("ecomtrack[.]io") em 15 de setembro de 2026, após seu vencimento, para infectar sites que ainda incorporavam tags de rastreamento referenciando o produto de analytics com JavaScript malicioso que entrega o malware.
"Com a tag ainda presente em lojas online, ela agora sequestra visitantes, os vende para redes de anúncios e, em um caso, entrega uma cadeia completa de exploits para iOS e um implante de spyware", afirmou o pesquisador de segurança Scott Helme.
O novo JavaScript incorpora várias medidas evasivas para detectar rastreadores, navegadores headless (navegadores sem interface gráfica) e bots, usando táticas de cloaking (ocultação) para alimentá-los com conteúdo vazio e esconder seus rastros. Ele também coleta informações sobre o dispositivo e o navegador e envia os dados para um servidor externo, após o que o visitante é redirecionado para um site de golpes ou um cassino online.
Uma rota leva a uma plataforma falsa de negociação de criptomoedas ("chainmate[.]top") que serve de forma furtiva a cadeia de exploits do DarkSword para iOS. O implante entregue via DarkSword foi projetado para capturar SMS (mensagens de texto), contatos, histórico de chamadas, correio de voz, fotos, dados do Apple Health, histórico de localização, notificações, senhas de Wi-Fi salvas e arquivos pertencentes a mais de 25 aplicativos de carteira.
"O código recuperado está configurado para contatar mertio.cc a cada 30 segundos e lidar com comandos como exec, download, photos e spy", disse Helme. "A versão que recuperamos parece ser mais nova (v24) e se reporta a uma infraestrutura diferente, visando um número muito maior de carteiras de cripto."
A divulgação ocorre enquanto a Censys afirma ter identificado diretórios abertos em cinco hospedeiros contendo componentes relacionados ao DarkSword e ao Coruna, outro kit de exploração para iOS descoberto este ano como sendo usado em ataques contra modelos de iPhone rodando versões do iOS entre 13.0 e 17.2.1.
"O Coruna é o kit de payload companheiro distribuído pelo mesmo ecossistema", afirmou a Censys. "Suas fases rodam dentro da sessão de navegador da vítima depois que as fases de exploit do DarkSword se instalam, e seus módulos de coleta de carteiras roubam frases de recuperação de cripto, saldos e dados de keystore de aplicativos para iOS. Os operadores executam o DarkSword e o Coruna juntos contra sua própria infraestrutura C2."
Os cinco hospedeiros estão listados abaixo:
- 43.134.165[.]205: serve o DS-Fusion v1.0 (também conhecido como DarkSword Fusion), um pacote combinado que inclui DarkSword e Coruna em um único bundle;
- 166.88.95[.]90: opera como servidor C2 do implante e registrou dois dispositivos iOS chineses reais (183.154.173[.]30 e 182.239.114[.]223) consultando uma página de beacon a cada três segundos durante várias horas em 6 de setembro de 2026;
- 23.148.212[.]237: serve como espaço de trabalho de análise, mostrando o operador desenvolvendo cadeias de exploit para o iOS 26 (como para a CVE-2026-31001), que não são cobertas pelo DarkSword ou pelo Coruna;
- 47.102.192[.]23: atua como hospedeiro de staging (preparação) para o kit Coruna;
- 156.239.230[.]120: expõe toda a plataforma C2 e foi observado consultando um dispositivo em 15 de setembro de 2026.
Uma análise do registro de exploits do servidor de produção revelou que o kit de exploração DarkSword inclui dois identificadores CVE (Vulnerabilidades e Exposições Comuns, na sigla em inglês) não documentados anteriormente:
- CVE-2025-24201: uma vulnerabilidade de escrita fora dos limites no motor WebKit que pode permitir a um invasor escapar da sandbox de Conteúdo Web (corrigida no iOS 18.3.2 e iPadOS 18.3.2);
- CVE-2025-31200: uma vulnerabilidade de corrupção de memória no framework Core Audio que permite execução de código ao processar um fluxo de áudio em um arquivo de mídia criado de forma maliciosa (corrigida no iOS 18.4.1 e iPadOS 18.4.1).
Suspeita-se que o cluster de diretórios abertos e a plataforma 156.239.230[.]120 sejam operados por um agente de ameaça de língua chinesa com o objetivo de realizar roubo de carteiras de criptomoedas. Dito isso, a identidade exata de quem está por trás ainda é desconhecida.
"A plataforma opera um serviço de exploitation-as-a-service (exploração como serviço) de língua chinesa", disse o pesquisador da Censys, Aidan Holland. "O painel de administração expõe um modelo de agente e revendedor, e uma cópia do servidor de produção recuperada continha 11 frases de recuperação de vítimas, 179 diretórios de loot de dispositivos e uma lista de 75 contas no plano de controle."
A Censys afirmou também ter detectado um operador separado, baseado na China, executando o mesmo kit em ambiente real contra seu próprio servidor C2 em "66ds[.]lol", incluindo um novo alvo de carteira de criptomoedas (BitKeep) que não estava presente no conjunto de diretórios abertos. As descobertas reforçam mais uma vez a proliferação do kit entre agentes com motivação financeira.
"O operador por trás disso está em hospedagem da Tencent e de Shenyang, vinculado ao operador por meio de uma autoridade certificadora autoassinada única", disse a Censys.
(A matéria foi atualizada após a publicação para incluir informações adicionais da iVerify e da Report URI.)
