Una recente campagna di cyber attacchi sta prendendo di mira i dispositivi Apple iOS sfruttando DarkSword, un exploit kit completo il cui codice sorgente e stato diffuso pubblicamente. Dopo la fuga di codice, diversi gruppi hanno iniziato a riutilizzare lo strumento, ampliando in modo rapido la superficie di rischio per utenti e organizzazioni.
Le analisi indicano un operatore di lingua cinese che gestisce oltre cento proprieta web impiegate come infrastruttura di attacco, con una forte concentrazione di hosting a Hong Kong e presenza anche in Giappone, Stati Uniti ed Europa.
DarkSword e progettato per colpire versioni di iOS comprese tra 18.4 e 18.7 e utilizza una catena di vulnerabilita ora corrette per ottenere l esecuzione di codice tramite JavaScript. Il vettore iniziale osservato e quello dei watering hole, in cui siti controllati o compromessi vengono usati come esca per innescare l exploit quando la vittima li visita. In questa campagna, l accesso avviene spesso tramite pagine di login fasulle che imitano la console AWS oppure schermate di accesso Apple ID, con l obiettivo di aumentare la credibilita e indurre l utente a interagire.
Il flusso dell attacco risulta coerente: la vittima raggiunge un dominio malevolo, un iframe carica codice JavaScript, parte la catena DarkSword e infine vengono distribuiti moduli di GHOSTBLADE, un malware orientato al furto di informazioni. Una volta installato, il software malevolo puo estrarre credenziali dal keychain, dati iCloud e credenziali Wi Fi, oltre ad avviare una raccolta ed esfiltrazione di file. I dati vengono poi impacchettati e inviati a endpoint controllati dagli attaccanti, che li recuperano tramite pannelli di amministrazione dedicati.
Sono stati individuati piu pannelli, tra cui DarkSword Admin, Decode Dashboard e un C2 Control Panel, esposti su diversi indirizzi IP e porte non standard. In alcuni casi, i pannelli mostrano etichette in lingua cinese e tracce di codice ereditate dal leak, incluse note in lingua russa, elemento che suggerisce un uso diretto del kit trapelato e non una sua riscrittura. Ulteriori riscontri collegano la stessa infrastruttura anche a strumenti e risorse operative, come directory aperte con chiavi SSH e riferimenti a una famiglia malware denominata Thorn C2.