В октябре 2026 года исследователи кибербезопасности раскрыли детали о P7 DarkSword — улучшенной версии коммерческого iOS exploit kit, который нацелен на iPhone под управлением iOS 18.4-18.7. Этот эксплойт-набор связывает несколько уязвимостей iOS для выхода из песочницы браузера, повышения привилегий до уровня ядра и внедрения полезных нагрузок в SpringBoard. P7 DarkSword вводит расширенные возможности, включая кражу данных криптовалютных кошельков на устройстве, извлечение iCloud Keychain и двунаправленную связь с command-and-control сервером.
Ключевые факты: Эксплойт-кит нацелен на iOS 18.4-18.7; использует CVE-2025-24201 и CVE-2025-31200; крадет данные криптокошельков (Coinbase, Binance, MetaMask, Ledger, Trezor); извлекает iCloud Keychain; hit-and-run подход — собирает данные за минуты; используется PARS Defense (Турция), Star Blizzard (Россия) и китайскоязычными операторами; цели в Саудовской Аравии, Турции, Малайзии, Украине.
P7 DarkSword представляет собой полный exploit chain и инфостилер, написанный на JavaScript. Он использует множественные уязвимости для установления привилегированного выполнения кода с целью доступа к конфиденциальной информации и её эксфильтрации с устройства. Kill chain начинается с того, что Safari сталкивается с вредоносным iframe, встроенным в веб-страницу. После загрузки DarkSword вырывается из песочницы WebContent, а затем использует WebGPU для инъекции в mediaplaybackd. Оттуда он может создать доступ на чтение/запись ядра, который использует для получения доступа к привилегированным процессам и модификации ограничений песочницы, получая доступ к защищенным частям файловой системы.
Эксплойт-кит использует две критические уязвимости. CVE-2025-24201 (CVSS 10) — это out-of-bounds write уязвимость в движке WebKit, которая позволяет атакующему вырваться из песочницы Web Content. CVE-2025-31200 (CVSS 9.8) — это уязвимость повреждения памяти в фреймворке Core Audio, которая позволяет выполнять код при обработке аудиопотока в вредоносно созданном медиафайле. Обе уязвимости активно эксплуатируются в дикой природе и затрагивают устройства с iOS до версии 18.4.1.
| Этап атаки | Технические детали | Результат |
|---|---|---|
| Первоначальный доступ | Вредоносные iframe на скомпрометированных сайтах | Загрузка эксплойт-кита |
| Выход из песочницы | Эксплуатация CVE-2025-24201 в WebKit | Выход из WebContent sandbox |
| Инъекция в процесс | Использование WebGPU для инъекции в mediaplaybackd | Доступ к привилегированному процессу |
| Повышение привилегий | Эксплуатация CVE-2025-31200 в Core Audio | Доступ на чтение/запись ядра |
| Пост-эксплуатация | Инъекция в SpringBoard, configd, securityd | Полный доступ к устройству |
После успешного повышения привилегий пост-эксплуатационный основной модуль `pe_main.js` служит оркестратором для ассортимента вредоносных модулей. Он начинает с принудительной загрузки фреймворка JavaScriptCore iOS вместе с пользовательскими полезными нагрузками в несколько жизненно важных и привилегированных сервисов iOS (configd, wifid, securityd и UserEventAgent). Каждая полезная нагрузка собирает и размещает конфиденциальную информацию, такую как пароли, ключи и другие документы, в доступных местах. После завершения финальная полезная нагрузка эксфильтрации внедряется в SpringBoard, где размещенные данные вместе с электронными письмами, криптовалютными кошельками, именами пользователей, паролями, фотографиями и другими файлами извлекаются с устройства и отправляются на C2-сервер.
Hit-and-run подход: В отличие от многих других сложных атак на мобильные устройства, DarkSword не предназначен для постоянного наблюдения. После завершения сбора и эксфильтрации целевых данных он удаляет созданные файлы на файловой системе устройства и выходит. Время присутствия на устройстве, вероятно, составляет минуты в зависимости от объема данных.
P7 DarkSword значительно расширяет функциональность по сравнению с предыдущими версиями, добавляя целенаправленную кражу данных криптовалютных кошельков. Исходный код четко показывает конфигурацию сбора данных, нацеленную на криптовалютные приложения, выявляя финансовую мотивацию, несовместимую с любой правоохранительной операцией. Эксплойт-кит нацелен на основные криптовалютные биржи и кошельки, включая Coinbase, Binance, Kraken, Kucoin, OKX, MEXC, а также аппаратные кошельки Ledger и Trezor, мультичейн кошельки MetaMask, Exodus, Atomic, Crypto.com, Trust Wallet, Uniswap, Phantom и Gnosis Safe.
Интересно, что Nicegram указан среди "Основных кошельков" наряду с Coinbase и Binance, двумя крупнейшими криптовалютными биржами в мире. Но Nicegram — это не кошелек. Это модифицированный клиент Telegram, популярный среди русскоязычных пользователей. Это согласуется с известной информацией о развертывании: фреймворк был обнаружен на украинской инфраструктуре, а код развертывания содержит комментарии на русском языке.
| Категория данных | Конкретные цели | Метод извлечения |
|---|---|---|
| Криптовалютные кошельки | Coinbase, Binance, MetaMask, Ledger, Trezor, Exodus | Прямое извлечение из приложений |
| iCloud Keychain | Сохраненные пароли, ключи, сертификаты | Доступ через securityd |
| Личные данные | Фотографии, заметки, контакты, календарь | Доступ к файловой системе |
| Коммуникации | Сообщения Telegram, WhatsApp, email | Извлечение из баз данных приложений |
| Системная информация | WiFi конфигурация, история браузера, cookies | Доступ к системным настройкам |
P7 DarkSword добавляет двунаправленную связь с C2-сервером с 15-секундными интервалами опроса, что позволяет операторам отправлять удаленные команды на скомпрометированное устройство. Это превращает эксплойт-кит из простого инфостилера в платформу для постоянного контроля. Данные эксфильтрируются на порты 8881/8882, которые размещают endpoint "DarkSword File Receiver". Использование BaseHTTPServer вместе с HTML-контентом, обслуживаемым этим endpoint, указывает на то, что серверный код мог быть включен в продажу DarkSword для демонстрационных целей или был создан самим злоумышленником.
Эксплойт-кит также извлекает обширный набор личной информации, включая уникальные идентификаторы устройства, историю звонков, адресную книгу, историю местоположений, данные о здоровье, информацию о SIM-карте и сотовой связи, список установленных приложений и историю Safari. Этот всеобъемлющий сбор данных делает P7 DarkSword одним из наиболее агрессивных мобильных эксплойт-китов, обнаруженных в 2026 году.
P7 DarkSword был развернут несколькими группами злоумышленников, включая турецкого вендора наблюдения PARS Defense и российскую группу Star Blizzard, с недавними кампаниями, приписываемыми китайскоязычным операторам, нацеленным на жертв в Саудовской Аравии, Турции, Малайзии и Украине. Этот инцидент представляет собой растущую коммодитизацию мобильных эксплойт-китов после их утечки на вторичные рынки, что позволяет финансово мотивированным киберпреступникам проводить сложные iOS-атаки, ранее доступные только государственным акторам.
Все наблюдаемые атаки группы были нацелены на посетителей скомпрометированных украинских веб-сайтов с использованием техники, называемой watering hole attack. Для наблюдаемого таргетинга DarkSword сайт novosti.dn[.]ua принадлежит независимому информационному агентству "Новости Донбасса", которое предоставляет информацию о ситуации на линии фронта и социальных проблемах в Донбасском регионе Украины. Сайт 7aac.gov[.]ua является официальным веб-сайтом Седьмого административного апелляционного суда, который рассматривает решения судов нескольких областей и расположен в Виннице.
| Группа злоумышленников | Происхождение | Мотивация | Цели |
|---|---|---|---|
| UNC6353 | Вероятно Россия | Финансовая + шпионаж | Украинские правительственные сайты |
| PARS Defense | Турция | Коммерческое наблюдение | Различные цели |
| Star Blizzard | Россия | Государственный шпионаж | Правительственные организации |
| Китайскоязычные операторы | Китай | Финансовая | Саудовская Аравия, Турция, Малайзия |
Несмотря на то, что группа UNC6353 была замечена в развертывании множественных iOS exploit chains в watering hole атаках на скомпрометированные украинские веб-сайты, об этой группе известно мало. Исследования не выявили никакой инфраструктуры, связанной с группой, кроме двух упомянутых доменов cdncounter[.]net и uacounter[.]com, C2-домена sqwas.shapelie[.]com и скомпрометированных легитимных веб-сайтов. Однако можно сделать некоторые наблюдения о группе на основе анализа их деятельности.
UNC6353 имеет доступ к поставке высококачественных iOS exploit chains, вероятно, разработанных для коммерческих вендоров наблюдения первого уровня (CSV). Некоторые из эксплойтов, похоже, были 0-day эксплойтами при первом развертывании. Это указывает на то, что они, вероятно, хорошо финансируются и могут иметь связи с брокерами эксплойтов, такими как Matrix LLC / Operation Zero. Полное отсутствие обфускации в коде DarkSword, отсутствие обфускации в HTML для iframe и тот факт, что DarkSword File Receiver так просто спроектирован и очевидно назван, приводят к выводу, что UNC6353 может не иметь доступа к сильным инженерным ресурсам или, альтернативно, не обеспокоен принятием соответствующих мер OPSEC.
Коммодитизация эксплойтов: Утечка DarkSword учит нас, что правительственные возможности эксплуатации больше не ограничены сложными операторами — доступность готового исходного кода с подробным debug output снижает барьер для любого квалифицированного разработчика для репликации этих атак.
Для защиты от P7 DarkSword и подобных эксплойт-китов критически важно поддерживать устройства в актуальном состоянии. Устройства, работающие на последних версиях iOS (≧18.7.3 для iOS 18 и ≧26.3 для iOS 26), не подвержены этой угрозе или уязвимостям, эксплуатируемым ею. Apple постоянно улучшает защиту своих устройств, и их наступательные продукты также должны эволюционировать. Код содержит множество следов, показывающих срочные изменения, включая два RCE эксплойта для разных версий iOS.
Организации должны внедрить многоуровневый подход к защите мобильных устройств. Обнаружение устаревших ОС позволяет администраторам идентифицировать уязвимые устройства в их парке. Web History feed позволяет идентифицировать устройства, которые были подвержены или скомпрометированы этой угрозой. Решение для защиты мобильных угроз, такое как Lookout, защищает от этой угрозы через функцию Safe Browsing, а также Device Compromise Detection.
| Мера защиты | Описание | Эффективность |
|---|---|---|
| Обновление iOS | Установка iOS ≧18.7.3 или ≧26.3 | Полная защита от известных уязвимостей |
| Mobile Threat Defense | Использование MTD решений | Обнаружение компрометации устройства |
| Safe Browsing | Защита от вредоносных веб-сайтов | Предотвращение загрузки эксплойтов |
| Мониторинг сети | Обнаружение подозрительного C2 трафика | Раннее обнаружение компрометации |
| Zero Trust архитектура | Сегментация и контроль доступа | Ограничение blast radius |
Для организаций, обрабатывающих криптовалютные активы, особенно важно внедрить дополнительные меры безопасности. Использование аппаратных кошельков для хранения значительных сумм обеспечивает дополнительный уровень защиты, поскольку приватные ключи никогда не покидают устройство. Регулярный аудит установленных приложений и мониторинг необычной активности на устройствах сотрудников может помочь выявить компрометацию на ранних стадиях.
Эпоха, когда только высокопоставленные цели должны были беспокоиться о эксплойтах государственного уровня, закончилась. Открытие DarkSword как второй iOS exploit chain, найденной в руках этого, по крайней мере частично финансово мотивированного злоумышленника, выявляет тревожную тенденцию. Существует вторичный рынок для технически сложных exploit chains, где недобросовестные продавцы готовы обслуживать покупателей с малой или нулевой обеспокоенностью о том, как они будут использоваться. Эти группы могут затем легко кастомизировать эти киты в вредоносное ПО для своих конкретных целей, возможно, с помощью AI.
Такие атаки гораздо более мощные и скрытные, чем вредоносное ПО на основе приложений или атаки социальной инженерии против пользователей смартфонов. Watering-hole атаки, злоупотребляющие скомпрометированными легитимными веб-сайтами, почти (если не технически) zero-click атаки в том смысле, что предполагаемая жертва может уже часто посещать вредоносный сайт. Даже если пользователя нужно заманить на сайт, обучение защитам от социальной инженерии не эффективно, поскольку URL инфекции легитимен. После успешной компрометации устройства вредоносное ПО имеет практически неограниченный доступ с потенциально разрушительными последствиями как для рабочих, так и для частных аспектов цифрового следа пользователя.
Использование DarkSword эксплойтов, затрагивающих более новые версии iOS, с некоторыми соответствующими уязвимостями, исправленными в 2026 году, дополнительно сокращает разрыв с текущими версиями iOS и может потенциально затронуть сотни миллионов устройств. Это ставит дополнительный акцент на важности более быстрого обновления мобильных устройств и замены старых моделей iOS устройств в мобильных парках организаций. Индустрия должна признать, что мобильная безопасность больше не может быть второстепенной — она является критическим компонентом общей стратегии кибербезопасности.
«В мире мобильной безопасности эксплойты государственного уровня больше не являются эксклюзивной прерогативой разведывательных агентств. Коммодитизация этих инструментов означает, что каждый пользователь смартфона теперь является потенциальной целью для sophisticated атак, ранее зарезервированных для высокопоставленных целей».
— Андреас Антонопулос, эксперт по безопасности мобильных устройств и блокчейн-технологиям
