P7 DarkSword colpisce iPhone: exploit iOS stealth ruba Keychain, Foto e crypto wallet con C2 bidirezionale

Il kit di exploit iOS DarkSword continua a evolversi e una nuova variante chiamata P7 DarkSword mostra un salto di qualità nelle capacità di furto dati e nel controllo remoto dei dispositivi Apple. Questa versione riduce il footprint sul dispositivo, migliora la discrezione eliminando log di debug e introduce un modello di comunicazione C2 bidirezionale più efficiente, con richieste periodiche che permettono agli attaccanti di inviare comandi e ricevere dati in modo continuo.

DarkSword è noto per concatenare più vulnerabilità di iOS con l’obiettivo di uscire dalla sandbox del browser, ottenere privilegi di kernel e iniettare il payload principale in SpringBoard, il processo chiave che gestisce home screen e avvio delle app. In questo modo l’impianto malevolo ottiene un punto di osservazione e controllo privilegiato. In passato il framework è stato associato a campagne in diversi paesi e a utilizzi da parte di attori differenti, segno di una proliferazione tipica dei tool commerciali o semi-commerciali che finiscono in circuiti secondari.

La caratteristica più rilevante di P7 DarkSword è l’ampliamento del data theft. La variante estrae informazioni dal portachiavi iCloud e da dati locali sensibili, includendo contenuti di app come Note e Foto, oltre a dati legati ai crypto wallet. A differenza di approcci precedenti che copiavano e trasferivano database per elaborarli lato server, qui l’estrazione avviene direttamente su iPhone con conversione in JSON prima dell’esfiltrazione, accelerando il furto e riducendo tracce operative.

Sul fronte del controllo remoto, il malware effettua polling frequente e supporta un set di comandi ampio.

Funzioni osservate

• Esecuzione di comandi di sistema
• Download e upload di file
• Enumerazione delle app installate
• Scansione del filesystem
• Raccolta di metadati del dispositivo
• Esecuzione di JavaScript nel runtime dell’impianto
• Moduli dedicati per individuare wallet installati ed estrarre dati da app mirate

Un vettore di distribuzione particolarmente insidioso riguarda il riutilizzo di un dominio legato a un servizio di analytics dismesso e poi ri-registrato. Tag di tracciamento rimasti su siti e-commerce possono diventare un punto di iniezione di JavaScript malevolo che applica tecniche di evasione contro crawler e bot, profila dispositivo e browser e reindirizza la vittima verso siti truffa, inclusi falsi portali di trading crypto capaci di servire l’intera catena di exploit iOS e lo spyware.