Новая версия набора эксплойтов DarkSword для iPhone крадет данные криптокошельков и связку ключей прямо на устройстве, сообщили в iVerify. Разновидность назвали P7 по префиксу p7_, который злоумышленники добавили в исходный код.
Сам DarkSword выявили еще в марте. Цепочка уязвимостей позволяет через вредоносный сайт выйти из песочницы браузера, получить привилегии ядра и внедриться в системный процесс SpringBoard. Под угрозой iPhone на iOS 18.4–18.7. Изначально это был коммерческий инструмент, но после утечки им начали пользоваться финансово мотивированные группировки.
По данным iVerify, P7 каждые 15 секунд запрашивает команды у управляющего сервера. Имплант ищет установленные кошельки, выгружает содержимое imToken, фотографии, заметки и записи iCloud Keychain.
Исследователь Report URI Скотт Хелм обнаружил новый канал доставки. 15 сентября злоумышленники перерегистрировали домен закрывшегося сервиса аналитики. Его трекеры до сих пор стоят на сайтах интернет-магазинов, и часть посетителей теперь попадает на фейковую криптобиржу, которая заражает iPhone. Эта сборка нацелена на файлы более 25 приложений для хранения монет.
Эксперты Censys нашли панель китайскоязычного EaaS-сервиса с собственной сетью агентов и реселлеров. В копии рабочего сервера содержится 11 сид-фраз жертв и другие данные с 179 устройств