SlowMist ने चेतावनी दी है कि हमलावरों ने संभवतः Darksword exploit chain को iOS 26.5 चलाने वाले डिवाइसों से समझौता करने और self-custody crypto wallets से private keys निकालने के लिए अनुकूलित कर लिया है.

SlowMist के Chief Information Security Officer 23pds ने कहा कि हमलावर Darksword का उपयोग Apple के security controls को bypass करने, प्रभावित iPhone पर व्यापक access हासिल करने, और लोकली इंस्टॉल किए गए cryptocurrency wallets से डेटा इकट्ठा करने के लिए कर रहे हैं.

रिपोर्ट की गई iOS 26.5 exposure की Apple या Google ने स्वतंत्र रूप से पुष्टि नहीं की है. Google Threat Intelligence Group के प्रकाशित शोध में iOS 18.4 से 18.7 तक के वर्जनों के समर्थन का दस्तावेजीकरण किया गया था, जबकि 23pds ने कहा कि हमलावरों ने तब से इस टूल को नए operating system पर काम करने लायक संशोधित कर लिया है.

Darksword संभवतः iOS 26.5 डिवाइसों तक पहुंच सकता है

Google की Threat Intelligence Group ने Darksword को एक पूर्ण iOS exploit chain के रूप में पहचाना, जो डिवाइसों से समझौता करने और अलग-अलग malicious payloads पहुंचाने के लिए छह vulnerabilities को जोड़ती है. कंपनी ने संबंधित गतिविधि को कम से कम दिसंबर 2025 से मार्च 2026 तक ट्रैक किया.

Google के अनुसार, मूल framework iOS 18.4 से iOS 18.7 तक को सपोर्ट करता था. iOS 18.6 से 18.7 डिवाइसों के खिलाफ इस्तेमाल की गई एक खामी, जिसे CVE-2025-43529 के रूप में ट्रैक किया गया, JavaScriptCore को प्रभावित करती थी, जो Safari में JavaScript प्रोसेस करने वाला इंजन है. Google की रिपोर्ट के बाद Apple ने iOS 18.7.3 और iOS 26.2 में इस खामी को patch कर दिया.

SlowMist का नवीनतम आकलन संभावित exposure को iOS 26.5 तक बढ़ाता है, हालांकि security company के इस दावे की आधिकारिक पुष्टि नहीं हुई है. चेतावनी में उद्धृत किसी technical analysis ने यह स्थापित नहीं किया कि कौन-सी vulnerability या replacement exploit Darksword को इस नए release से समझौता करने में सक्षम बना सकती है.

23pds के अनुसार, हमलावर आमतौर पर social engineering के जरिए compromise की शुरुआत करते हैं. लक्ष्य को social network, messaging app या किसी अन्य communication channel के माध्यम से एक link मिलता है और वह Safari में उस page को खोलता है. इसके बाद malicious web content उपयोगकर्ता से किसी पारंपरिक application की इंस्टॉलेशन कराए बिना browser और अन्य iOS components को exploit करने की कोशिश करता है.

23pds ने कहा कि एक बार chain सफल हो जाने पर हमलावर root-level control हासिल कर सकता है. ऐसा access उस isolation को हटा सकता है, जो सामान्यतः एक application को दूसरी application की files और credentials पढ़ने से रोकता है, जिससे डिवाइस पर stored private keys और अन्य wallet records जोखिम में आ जाते हैं.

Malicious Safari links wallet data को उजागर कर सकते हैं

Google ने Darksword का उपयोग करने वाले कई समूहों को अलग-अलग final-stage payloads के साथ पाया, न कि malware के किसी एक स्थिर रूप के साथ. अभियान के आधार पर, payloads account details, messages, browser records, files, location history, saved Wi-Fi data और cryptocurrency wallets से जुड़ी जानकारी एकत्र कर सकते थे.

Security company ने अलग-अलग operations को Saudi Arabia, Turkey, Malaysia और Ukraine के पीड़ितों से जोड़ा. Google ने कुछ गतिविधियों को commercial surveillance providers और संदिग्ध state-linked groups से जोड़ा, जबकि शोधकर्ताओं को ऐसे संकेत भी मिले कि वित्तीय लाभ से प्रेरित actors को उन्नत iPhone exploitation tools तक पहुंच मिल चुकी थी.

SlowMist द्वारा उपलब्ध कराई गई सामग्री में Darksword के जरिए प्रभावित कुल पीड़ितों की संख्या या चोरी की गई cryptocurrency की पुष्टि की गई राशि शामिल नहीं थी. इसके बजाय, चेतावनी का फोकस इस framework की उस क्षमता पर था, जिसके तहत वह उस डिवाइस से समझौता करने के बाद wallet information तक पहुंच सकता है, जिसमें वह stored है.

इसी तरह का delivery method पहले की एक mobile threat में भी देखा गया था. मार्च में, crypto.news ने Coruna पर Google के निष्कर्षों को कवर किया था, जो पांच attack chains में फैली 23 vulnerabilities वाला एक exploit kit है. Coruna ने iOS 13 से iOS 17.2.1 तक चलाने वाले iPhones को target किया और files तथा images में “backup phrase” और “bank account” जैसे terms खोज सकता था.

Google के शोधकर्ताओं ने कहा कि Coruna किसी visitor के डिवाइस का fingerprinting करता था, फिर iPhone model और software version के अनुरूप exploit चुनता था. कुछ operators ने इस kit को fake gambling और cryptocurrency sites पर रखा, जिससे compromise की शुरुआत तब हो सकती थी जब कोई target page लोड करता था.

हालिया iOS खतरों ने private keys को निशाना बनाया है

Darksword Apple डिवाइसों पर cryptocurrency data से जुड़ा एकमात्र हालिया security threat नहीं है. Binance ने 19 सितंबर को iPhone और iPad उपयोगकर्ताओं को FomoPeek versions 1.1 और 1.2 में पाए गए malicious code के बारे में चेतावनी दी थी.

App की जांच करने वाले शोधकर्ताओं ने आठ attack methods वाला एक kernel exploitation framework पाया और बताया कि इसका support iOS 12.0 से 18.7.2 तथा iOS 26.0 से 26.1 तक फैला है. FomoPeek पर एक रिपोर्ट के अनुसार, ये malicious modules iOS sandbox से बाहर निकल सकते थे, Keychain data को decrypt कर सकते थे, और private keys, wallet recovery phrases, account credentials तथा अन्य applications द्वारा रखी गई files तक पहुंच सकते थे.

Binance ने प्रभावित versions इंस्टॉल कर चुके किसी भी व्यक्ति को app हटाने, iOS अपडेट करने और उसे दोबारा इंस्टॉल न करने की सलाह दी. Self-custody users को यह भी कहा गया कि वे एक clean device पर नया wallet बनाएं और अपने assets ट्रांसफर करें, क्योंकि यदि private key या recovery phrase पहले ही कॉपी हो चुकी हो, तो malicious app हटाने भर से wallet सुरक्षित नहीं होगा.

Darksword एक अलग रास्ता अपनाता है क्योंकि इसके documented campaigns malicious या compromised websites पर निर्भर करते हैं. हालांकि, दोनों मामलों में ऐसे प्रयास शामिल हैं जो उन controls को विफल करना चाहते हैं, जो सामान्यतः software को iPhone में कहीं और रखे sensitive records हासिल करने से रोकते हैं.

SlowMist ने उपयोगकर्ताओं को mobile operating-system updates तुरंत इंस्टॉल करने और अजनबियों द्वारा भेजे गए unsolicited links न खोलने की सलाह दी. Google और Apple ने भी current software को एक केंद्रीय defense माना है, क्योंकि Apple ने मूल Darksword chain में documented छह vulnerabilities को patch कर दिया है.

अमेरिकी निवेशकों ने fake wallets को लेकर Apple पर मुकदमा भी किया है

अमेरिकी crypto holders के लिए, Darksword चेतावनी Apple के आधिकारिक marketplace के जरिए वितरित malicious wallet software को लेकर एक अलग विवाद के बाद आई है. पहले की अदालत कवरेज के अनुसार, तीन निवेशकों ने federal lawsuit दायर कर आरोप लगाया कि Sparrow Wallet का प्रतिरूपण करने वाले fake applications App Store में दिखाई दिए और लगभग $1.835 million के Bitcoin losses का कारण बने.

वादियों के आरोप browser-based exploit के बजाय fraudulent applications से संबंधित हैं. फिर भी, उनका मामला Apple के mobile distribution system की security और उस financial damage पर केंद्रित है, जो तब हो सकता है जब उपयोगकर्ता legitimate cryptocurrency wallet के रूप में प्रस्तुत software पर भरोसा करते हैं.

Ledger Live के रूप में पेश होने वाले एक अन्य counterfeit application ने कथित तौर पर 7 अप्रैल से 13 अप्रैल के बीच 50 से अधिक पीड़ितों से कम से कम $9.5 million चुरा लिए. Blockchain investigator ZachXBT ने Bitcoin, Ethereum, Solana, Tron और XRP उपयोगकर्ताओं के funds को 150 से अधिक KuCoin deposit addresses और एक mixing service तक trace किया.

Fake Ledger application ने उपयोगकर्ताओं से उस प्रक्रिया के दौरान अपने 24-word recovery phrases दर्ज करने को कहा, जो एक मानक wallet setup जैसी दिखती थी. बाद में Apple ने उस listing को हटा दिया, जबकि एक पीड़ित ने कहा कि उसने इसे नए MacBook पर Ledger device कॉन्फ़िगर करते समय डाउनलोड किया था.

Darksword chain के विपरीत, fraudulent Ledger app को operating system के security controls तोड़ने की जरूरत नहीं थी. उपयोगकर्ताओं ने impersonating software में recovery phrases दर्ज करके अपने wallets को उजागर कर दिया, जिससे उसके operators को उन phrases से derived हर address पर नियंत्रण मिल गया.