P7 DarkSword: Nova ranljivost iOS naprav krade podatke kripto denarnic

Raziskovalci s področja kibernetske varnosti so razkrili podrobnosti o novi različici zlonamernega orodja P7 DarkSword. To orodje cilja na naprave iOS in ima izboljšane zmožnosti. Med njimi sta kraja podatkov iz kripto denarnic in izvajanje oddaljenih ukazov. Odkritje so objavili 11. oktobra 2026.

Podrobnosti o P7 DarkSword

P7 DarkSword je nova različica orodja DarkSword, ki je bilo prvič dokumentirano marca 2025. V primerjavi s prejšnjimi različicami ima P7 DarkSword manjši odtis na napravi. Dodana je zmožnost kraje podatkov iz ključavnice (Keychain) in kripto denarnic. Omogoča tudi dvosmerno komunikacijo z infrastrukturo napadalca.

Orodje izkorišča več ranljivosti v sistemu iOS. Te ranljivosti mu omogočajo, da pobegne iz izoliranega okolja brskalnika. Nato pridobi privilegije jedra in vbrizga glavno kodo v proces SpringBoard. Ta proces upravlja zagon aplikacij in začetni zaslon. Orodje je bilo zaznano v napadih na Savdsko Arabijo, Turčijo, Malezijo in Ukrajino. Cilja na naprave z operacijskim sistemom iOS med različicama 18.4 in 18.7.

Nove zmožnosti in širjenje

Nova različica P7 DarkSword podatke iz ključavnice najprej ekstrahira v format JSON. To se zgodi na telefonu, preden jih pošlje naprej. Zlonamerna koda se vbrizga v proces SpringBoard. Ta proces nato vsakih 15 sekund preverja morebitne ukaze. Pošilja tudi seznam nameščenih aplikacij. Prav tako lahko pošlje podatke iz iCloud Keychain, Apple Notes, Photos in kripto denarnic.

Napadalci lahko izvajajo sistemske ukaze. Lahko prenašajo datoteke z naprave na strežnik. Med ukradenimi podatki so lahko tudi SMS sporočila, kontakti, zgodovina klicev, glasovna pošta, fotografije in podatki iz Apple Health. Ogroženi so tudi podatki o lokaciji, obvestila, shranjena gesla Wi-Fi in datoteke iz več kot 25 različnih aplikacij za kripto denarnice.

P7 DarkSword se širi tudi preko ponovno registriranih domen. Ena takšnih je bila prej povezana s češkim podjetjem za analitiko e-trgovine. Zlonamerni JavaScript, vdelan na spletnih trgovinah, preusmerja obiskovalce na lažne platforme za trgovanje s kriptovalutami. Tam se nato neopazno naloži zlonamerna programska oprema.

Kaj to pomeni za vas

Čeprav vir govori o napadih v tujini, se podobne prevare lahko zgodijo tudi v Sloveniji. Napadalci pogosto uporabljajo lažne spletne oglase, phishing sporočila ali zlonamerne spletne strani. Z njimi poskušajo uporabnike prepričati k namestitvi zlonamerne programske opreme ali obisku okuženih strani. Za zaščito vaših mobilnih naprav in podatkov priporočamo naslednje korake:

1. Redno posodabljajte operacijski sistem: Vedno namestite najnovejše varnostne posodobitve za vašo napravo iOS. Te posodobitve pogosto vključujejo popravke za znane ranljivosti.
2. Bodite previdni pri klikanju povezav: Ne klikajte na sumljive povezave v SMS sporočilih, e-pošti ali na družbenih omrežjih. Preverite vir in se prepričajte o njegovi verodostojnosti, preden karkoli odprete.
3. Uporabljajte preverjene aplikacije: Aplikacije prenašajte izključno iz uradne trgovine App Store. Pred namestitvijo preverite ocene in dovoljenja, ki jih aplikacija zahteva.
4. Omogočite dvostopenjsko preverjanje: Za vse pomembne račune, še posebej za kripto denarnice in Apple ID, vključite dvostopenjsko preverjanje. To doda dodatno plast varnosti, tudi če napadalci pridobijo vaše geslo.
5. Varnostno kopirajte podatke: Redno varnostno kopirajte pomembne podatke. V primeru okužbe boste tako lahko obnovili svoje datoteke.

Če sumite, da je vaša naprava okužena, ali ste bili žrtev prevare, se obrnite na SI-CERT (www.varninainternetu.si). V primeru izgube denarja nemudoma obvestite svojo banko in policijo na številko 113.

povzeto po: the hacker news