SlowMist попередила, що зловмисники могли адаптувати ланцюжок експлойтів Darksword для компрометації пристроїв під керуванням iOS 26.5 та викрадення приватних ключів із некастодіальних криптогаманців.
Директор з інформаційної безпеки SlowMist 23pds заявив, що зловмисники використовують Darksword для обходу механізмів безпеки Apple, отримання широкого доступу до уражених iPhone та збору даних із локально встановлених криптовалютних гаманців.
Повідомлення про вразливість iOS 26.5 не було незалежно підтверджене Apple або Google. Опубліковане дослідження Google Threat Intelligence Group документувало підтримку версій iOS від 18.4 до 18.7, тоді як 23pds заявив, що зловмисники відтоді модифікували інструмент для роботи з новішою операційною системою.
Google Threat Intelligence Group ідентифікувала Darksword як повний ланцюжок експлойтів для iOS, що поєднує шість вразливостей для компрометації пристроїв і доставки окремих шкідливих пейлоадів. Компанія відстежувала пов’язану активність щонайменше з грудня 2025 року по березень 2026 року.
За даними Google, оригінальний фреймворк підтримував iOS від 18.4 до 18.7. Одна з вразливостей, що використовувалася проти пристроїв на iOS 18.6–18.7 і відстежувалася як CVE-2025-43529, зачіпала JavaScriptCore — рушій, який обробляє JavaScript у Safari. Apple виправила цю вразливість в iOS 18.7.3 та iOS 26.2 після повідомлення від Google.
Остання оцінка SlowMist розширює потенційний діапазон ураження до iOS 26.5, хоча твердження компанії з кібербезпеки не отримало офіційного підтвердження. У попередженні не було наведено технічного аналізу, який би встановлював, яка саме вразливість або експлойт-замінник може дозволити Darksword компрометувати новішу версію ОС.
За словами 23pds, зловмисники зазвичай ініціюють компрометацію через соціальну інженерію. Ціль отримує посилання через соціальну мережу, месенджер або інший канал зв’язку та відкриває сторінку в Safari. Далі шкідливий вебконтент намагається експлуатувати браузер та інші компоненти iOS без необхідності встановлення користувачем звичайного застосунку.
Як тільки ланцюжок спрацьовує, зловмисник може отримати контроль на рівні root, сказав 23pds. Такий доступ може зняти ізоляцію, яка зазвичай не дозволяє одному застосунку читати файли та облікові дані іншого, що ставить під загрозу приватні ключі та інші записи гаманця, збережені на пристрої.
Google виявила кілька груп, які використовують Darksword із різними пейлоадами фінальної стадії, а не з одним фіксованим зразком шкідливого ПЗ. Залежно від кампанії, пейлоади могли збирати дані облікових записів, повідомлення, історію браузера, файли, історію локацій, збережені дані Wi-Fi та інформацію, пов’язану з криптовалютними гаманцями.
Компанія з кібербезпеки пов’язала окремі операції з жертвами в Саудівській Аравії, Туреччині, Малайзії та Україні. Google пов’язала частину активності з постачальниками комерційного шпигунського ПЗ та ймовірно пов’язаними з державою групами, тоді як дослідники також виявили ознаки того, що фінансово вмотивовані актори отримали доступ до просунутих інструментів експлуатації iPhone.
У матеріалах, наданих SlowMist, не було вказано ні загальної кількості жертв, ні підтвердженої суми криптовалюти, викраденої через Darksword. Натомість попередження зосереджувалося на здатності цього фреймворку дістатися до інформації гаманця після компрометації пристрою, на якому вона зберігається.
Подібний метод доставки фігурував і в попередній мобільній загрозі. У березні crypto.news висвітлював висновки Google щодо Coruna — набору експлойтів, який містив 23 вразливості в межах п’яти ланцюжків атак. Coruna націлювався на iPhone з версіями від iOS 13 до iOS 17.2.1 і міг шукати у файлах та зображеннях такі терміни, як “backup phrase” і “bank account”.
Дослідники Google повідомили, що Coruna спершу збирав відбиток пристрою відвідувача, а потім обирав експлойт, що відповідав моделі iPhone та версії ПЗ. Деякі оператори розміщували цей набір на фейкових сайтах азартних ігор і криптовалютних ресурсах, що дозволяло почати компрометацію, щойно ціль завантажувала сторінку.
Darksword — не єдина нещодавня загроза безпеці, пов’язана з криптовалютними даними на пристроях Apple. 19 вересня Binance попередила користувачів iPhone та iPad про шкідливий код, виявлений у версіях FomoPeek 1.1 та 1.2.
Дослідники, які аналізували застосунок, виявили фреймворк експлуатації ядра з вісьмома методами атаки та заявленою підтримкою iOS від 12.0 до 18.7.2, а також iOS від 26.0 до 26.1. Згідно зі звітом про FomoPeek, шкідливі модулі могли виходити за межі пісочниці iOS, дешифрувати дані Keychain і отримувати доступ до приватних ключів, фраз відновлення гаманців, облікових даних акаунтів і файлів, що належать іншим застосункам.
Binance порадила всім, хто встановив уражені версії, видалити застосунок, оновити iOS і не встановлювати його повторно. Користувачам некастодіальних рішень також рекомендували створити новий гаманець на чистому пристрої та перевести активи, оскільки видалення шкідливого застосунку не захистить гаманець, якщо його приватний ключ або фразу відновлення вже було скопійовано.
Darksword використовує інший шлях, оскільки його задокументовані кампанії спираються на шкідливі або скомпрометовані вебсайти. Однак в обох випадках ідеться про спроби обійти засоби захисту, які зазвичай не дають програмному забезпеченню отримувати чутливі дані, що зберігаються в інших частинах iPhone.
SlowMist порадила користувачам оперативно встановлювати оновлення мобільної операційної системи та уникати відкриття небажаних посилань, надісланих незнайомцями. Google і Apple також розглядають актуальне ПЗ як ключовий засіб захисту, оскільки Apple вже виправила шість вразливостей, задокументованих в оригінальному ланцюжку Darksword.
Для американських власників криптовалюти попередження щодо Darksword з’явилося на тлі окремого спору про шкідливе ПЗ для гаманців, яке поширювалося через офіційний маркетплейс Apple. Троє інвесторів подали федеральний позов, стверджуючи, що в App Store з’явилися фейкові застосунки, які видавали себе за Sparrow Wallet і спричинили втрати Bitcoin приблизно на $1,835 млн, згідно з попереднім висвітленням судової справи.
Твердження позивачів стосуються шахрайських застосунків, а не браузерного експлойту. Проте їхня справа все одно зосереджена на безпеці мобільної системи дистрибуції Apple та фінансових збитках, які можуть виникати, коли користувачі довіряють програмному забезпеченню, представленому як легітимний криптовалютний гаманець.
Інший підроблений застосунок, який видавав себе за Ledger Live, нібито викрав щонайменше $9,5 млн у понад 50 жертв у період з 7 по 13 квітня. Блокчейн-дослідник ZachXBT відстежив кошти користувачів Bitcoin, Ethereum, Solana, Tron і XRP до понад 150 депозитних адрес KuCoin та сервісу мікшування.
Фейковий застосунок Ledger просив користувачів ввести свої 24-слівні фрази відновлення під час того, що виглядало як стандартне налаштування гаманця. Пізніше Apple видалила цей лістинг, тоді як одна з жертв заявила, що завантажила його під час налаштування пристрою Ledger на новому MacBook.
На відміну від ланцюжка Darksword, шахрайському застосунку Ledger не потрібно було ламати механізми безпеки операційної системи. Користувачі самі скомпрометували свої гаманці, вводячи фрази відновлення в застосунок-імітатор, тим самим надаючи його операторам контроль над кожною адресою, похідною від цих фраз.
ETH
BTC
