CertiK 警告：DarkSword iPhone 漏洞利用鏈正瞄準加密錢包
CertiK 警告稱，攻擊者正在利用較新的 DarkSword iOS 漏洞利用工具包版本，針對未打補丁的 iPhone 上的加密錢包；只需要一個惡意的 Safari 頁面，就可能足以攻陷設備。
- Google 記錄的 DarkSword 攻擊鏈基於六個漏洞，影響了 iOS 的 18.4 至 18.7 版本。
- P7 版 DarkSword 支持掃描錢包、收集憑證，並能在被攻陷的手機上執行遠端命令。
- 研究人員觀察到，用戶在瀏覽 Instagram 信息流時，惡意廣告會傳播該惡意軟件。
- CertiK 建議更新 iOS，並將暴露的資金轉移到使用全新恢復密語的錢包中。
CertiK 在 11 月 6 日的警告中表示，這種攻擊不需要用戶連接到錢包，也不需要批准交易。該公司在其帖文中點名了 MetaMask、Trust Wallet、Phantom、Exodus 和 Coinbase 等應用程式據稱都在目標之列，此外還包括儲存在手機其他位置的密碼和恢復語句。
這家安全公司寫道：「只需要在 Safari 中打開一個惡意網站，就可能已經足夠了：不需要連接到錢包，也不需要簽名。」
在這項警告發布之前，外界已經分別對 DarkSword 最初的漏洞利用鏈、10 月披露的更新版間諜軟件變種，以及用於傳播該軟件的廣告基礎設施展開調查。
DarkSword 利用六個漏洞攻陷易受攻擊的 iPhone
Google 威脅情報小組在3月18日的研究中記錄了一條適用於 iOS 18.4至18.7的攻擊鏈。通過組合六個漏洞，攻擊者可以攻佔設備，並安裝收集敏感信息的軟件。
Google 识别出在成功利用後投遞的三個惡意軟件家族：GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER。它們的能力各不相同，其中一些支持遠端命令，另一些則在未持續運行的情況下收集數據。
Google 表示，GHOSTBLADE 收集的信息包括加密貨幣錢包數據、設備密鑰串、消息記錄、瀏覽器信息、備忘錄數據庫以及個人媒體內容。Google 觀察到，相關行動針對的是沙特阿拉伯、土耳其、馬來西亞和烏克蘭的人員，涉及商業監控供應商和疑似國家支持的行為者。
據 Google 称，這些活動最早可追溯至 2025 年 11 月。該公司表示，其在當年晚些時候將這些漏洞報告給了蘋果，而在 iOS 26.3 發布時，所有漏洞都已被修补，其中大多數更早就已修復。
Google 的發現描述的是針對容易受到攻擊的操作系統的攻擊，而不是要求受害者必須通過某個加密應用授權訪問。
P7 版 DarkSword 允許攻擊者遠端控制數據收集
移動安全公司 iVerify 在 10 月 8 日的一份報告中披露了 P7 变種，此前該公司調查了 8 月在一名客戶設備上發現的一次感染事件。
研究人員復原了一款間諜軟件，其改動旨在降低存在痕跡、提升穩定性，並支持與攻擊者控制的基礎設施進行雙向通信。P7去除了部分日誌記錄、減少了進程注入，並利用瀏覽器存儲來防止重複利用。
其命令列表中包括一個用於識別已安裝錢包應用的功能，以及另一個用於從 imToken 提取錢包相關數據的功能。其他命令則會收集 Apple Notes 數據庫、照片、應用文件和設備信息。
該植入程式預設每 15 秒會向其伺服器檢查一次指令，不過操作者可以修改這一間隔。文中的這一數字描述的是它請求命令的頻率，并不意味著存在一個固定的盜取資金或提取錢包內容的時間表。
據 iVerify 称，與早期版本將密鑰串數據庫發送出去再處理不同，P7 會先在手機上處理密鑰串信息，然后再傳輸。
惡意廣告可在無需點擊鏈接的情況下被傳送 DarkSword
iVerify 和 Report URI 在 10 月 21 日的一項調查中記錄了通過惡意廣告和被棄用的網站集成進行投遞的情況。
其中一個案例中，一則世界盃主題的 Instagram 廣告在一名員工瀏覽信息流時感染了其設備。隨後，另一個團體又通過攜帶另一種 DarkSword 变種的惡意鏈接，對同一名員工發動攻擊。
Report URI 将一個名為 DeadTag 的活動追蹤到之前被分析和廣告服務使用、但已過期的域名。攻擊者購買了這些域名，並利用仍嵌入在網站中的集成代碼來重新導向訪客。
研究人員識別出數百個被重新註冊的網域名稱，這些網域名稱嵌入在數千個網站中。他們觀察到的網路每月接收1.35億次訪問；這一流量估計涵蓋了那些在訪客滿足攻擊者設定的條件時，可能會傳遞漏洞利用的網站。
調查還包括一個偽造的 Polymarket 頁面，該頁面會傳送 Coruna 和 P7 DarkSword。報告稱，當惡意內容在易受攻擊的設備上被載入時，感染會自動發生。
CertiK 催促用戶更換已曝光的恢復密語
CertiK 建議 iPhone 使用者透過「設定—通用—軟體更新」來安裝可用的更新，避免點擊未知鏈接，並且不要將密碼保存在照片、備忘錄和截圖中。
其建議還包括：對於大額持倉使用硬體錢包；對於風險較高的用戶啟用 Lockdown Mode。Google 也建議，在無法更新系統時使用 Lockdown Mode。
對於疑似已被攻陷的情況，CertiK 指示用戶將資金轉移到一臺乾淨且已更新的設備上新建的錢包中，並且絕不允許重複使用舊的助記詞。
另外，iVerify 建議更改儲存在受影響手機密鑰串中的密碼。
