darksword

Theo báo cáo của Cointelegraph, công ty an ninh blockchain SlowMist cho biết cuộc điều tra của họ chưa liên kết cuộc tấn công Safari trên iPhone gần đây gây ra cảnh báo an ninh với các sự kiện bị đánh cắp tiền điện tử đã được xác nhận.SlowMist đã cho Cointelegraph biết rằng họ chưa xác nhận độc lập có nạn nhân nào bị thiệt hại do mẫu tấn công Safari cụ thể mà họ phân tích, và các bằng chứng kỹ thuật mạnh nhất mà họ nắm giữ bao phủ các phiên bản iOS từ 18.4 đến 18.6.2. Công ty này cho biết, phạm vi "iOS 13 đến 26.5" mà bên ngoài lưu truyền nên được coi là đánh giá sơ bộ, và trước khi có được bằng chứng kỹ thuật có thể tái hiện, họ có xu hướng tránh tuyên bố rằng iOS 26.5 bị ảnh hưởng.SlowMist chỉ ra rằng cuộc tấn công Safari này đã tái sử dụng công nghệ chuỗi khai thác lỗ hổng DarkSword đã được tiết lộ trước đó, và độc lập với một cuộc điều tra khác liên quan đến các thành phần độc hại nhúng trong ứng dụng App Store mang tên FomoPeek. Nhóm tình báo đe dọa của Google (GTIG) đã tiết lộ DarkSword vào tháng 3, cho rằng đây là chuỗi khai thác lỗ hổng iOS đã được nhiều tác nhân đe dọa sử dụng kể từ tháng 11 năm 2025.

Công ty an ninh blockchain SlowMist, Giám đốc An ninh Thông tin 23pds cho biết, kẻ tấn công đang lợi dụng lỗ hổng Darksword, thông qua Safari để vượt qua cơ chế an ninh iOS, kiểm soát thiết bị và trích xuất khóa riêng cùng các dữ liệu khác từ ví tiền điện tử tự quản. Lỗ hổng này đã được sử dụng để tấn công người dùng ở Ả Rập Saudi, Thổ Nhĩ Kỳ, Malaysia và Ukraine. Nhóm Tình báo Đe dọa Google trước đó đã tiết lộ, Darksword ban đầu chỉ ảnh hưởng đến các phiên bản iOS từ 18.4 đến 18.7.23pds cho biết, kẻ tấn công đã điều chỉnh nó cho iOS 26.5, nhưng đánh giá này vẫn chưa được xác nhận chính thức. Cuộc tấn công thường bắt đầu từ kỹ thuật xã hội, khi người dùng nhấp vào liên kết độc hại được gửi qua mạng xã hội hoặc ứng dụng giao tiếp, thiết bị có thể bị lấy quyền Root và trích xuất dữ liệu ví. Người dùng nên kịp thời cập nhật hệ thống điện thoại, tránh truy cập vào các liên kết trang web do người lạ gửi; ba nhà đầu tư khác đã mất gần 1,8 triệu đô la Bitcoin do tải xuống ứng dụng ví giả từ App Store chính thức của Apple và đã kiện Apple.

Theo thông tin từ đội ngũ an ninh Slow Mist, họ đã phát hiện một hoạt động tấn công giả mạo dịch vụ VPS miễn phí, nhắm vào trình duyệt Safari trên iPhone chạy phiên bản iOS 18.4 đến 18.6.2.Kẻ tấn công đã lợi dụng sáu lỗ hổng mang mã DarkSword để hình thành chuỗi tấn công hoàn chỉnh, bao gồm thực thi mã từ xa WebKit, thoát khỏi sandbox và đọc/ghi kernel, có thể lấy được tệp container ứng dụng và dữ liệu chuỗi khóa mà người dùng không hề hay biết, đồng thời ghi lại các đầu vào từ bàn phím khi các ví như imToken, TokenPocket hoặc TronLink đang ở chế độ nền.Đội ngũ Slow Mist cho biết, sáu lỗ hổng trên hiện đã được Apple khắc phục, và cuộc tấn công hiện tại thuộc về việc tái sử dụng chuỗi lỗ hổng n-day. Chỉ việc truy cập vào trang web độc hại không thể chứng minh trực tiếp rằng cụm từ ghi nhớ hoặc khóa riêng đã bị đánh cắp, vẫn cần phải xác minh thông qua việc thu thập chứng cứ từ thiết bị. Khuyến nghị người dùng iOS/iPadOS nhanh chóng nâng cấp hệ thống lên phiên bản 18.7.3 hoặc 26.3 trở lên.

The slow fog余弦 social media stated that the high-risk iOS attack framework DarkSword has been publicly leaked on channels such as GitHub and is being used for large-scale espionage attacks targeting cryptocurrency wallet holders.This attack program targets devices running iOS versions 18.4 to 18.7, utilizing vulnerabilities in the Safari browser through malicious web pages to achieve remote code execution, thereby stealing users' sensitive data. Attackers launch attacks using bait web pages that impersonate pornographic live streams, Tron energy stations, refund processes, and more.iPhone users running older versions of iOS, once they access such web pages using the Safari browser (even if they do not close the page), may have sensitive information such as plaintext private keys and mnemonic phrases stolen by malicious JavaScript code when unlocking the wallet app, which is then transmitted in real-time through channels like Telegram bots.

The Chief Information Security Officer of Slow Fog Technology, 23pds, posted on platform X reminding all users to update their iOS systems in a timely manner. The DarkSword attack program has been leaked, and its core capability is: to extract forensic-level data from iOS devices via HTTP interfaces.In actual attacks, attackers can use social engineering or watering hole attacks to lure users into falling victim, thereby stealing data from iPhones/iPads and uploading it to servers controlled by the attackers.