📢 Noticias
SlowMist publica un informe de análisis del troyano DarkSword: código abierto weaponizado, amenazando las billeteras criptográficas para iOS
El 19 de octubre, la firma de seguridad SlowMist publicó un informe detallado de inteligencia sobre amenazas centrado en el troyano DarkSword y su cadena completa de ataque en plataformas iOS. El informe reconstruye sistemáticamente la evolución de la infraestructura de ataque y subraya con claridad la grave y tangible amenaza que representa para los usuarios de activos criptográficos.
Según el análisis de SlowMist, tras la divulgación pública del código de explotación correspondiente en marzo de 2026, la variante DarkSword-PROV2 apareció por primera vez en GitHub en julio del mismo año; para finales de septiembre, ya se había observado que su infraestructura de ataque asociada entraba oficialmente en operación y se empleaba activamente en escenarios reales. El equipo de SlowMist no solo ha monitoreado de forma continua sus infraestructuras en línea activas, sino que también logró vincular con éxito su panel de gestión con los repositorios de código públicos alojados en GitHub, además de realizar una descomposición inversa y validación funcional de sus módulos de explotación, rutas de distribución maliciosa y capacidades de movimiento lateral tras la compromisión del dispositivo.
Los hallazgos clave revelados en el informe incluyen:
· Una canalización de ataque extremadamente automatizada de extremo a extremo —que abarca la activación del exploit mediante entrega web, la recopilación de huellas digitales del dispositivo y datos sensibles, el robo multidimensional de información y la concentración dirigida de fondos desde billeteras criptográficas;
· Un alcance de robo de datos que va más allá de lo habitual: además de acceder al Keychain, archivos locales y mensajes SMS, el kit de herramientas está especialmente optimizado para extraer datos de billeteras criptográficas, pudiendo descifrarlas y transferir sus fondos directamente;
· Aunque su documentación oficial afirma compatibilidad con iOS 13 o superior, el análisis a nivel de código confirma que su explotación efectiva se limita únicamente a dos rangos específicos: iOS 18.6–18.7.2 e iOS 26.0–26.1;
· Los componentes de vulnerabilidad originalmente públicos han sido profundamente armados y ahora se integran sin fisuras en un marco de ataque listo para desplegarse inmediatamente, reduciendo drásticamente la barrera técnica necesaria para lanzar ataques altamente sigilosos contra dispositivos iOS.
Ante estos riesgos, SlowMist recomienda medidas concretas de protección: los usuarios deben actualizar inmediatamente sus sistemas iOS y evitar absolutamente hacer clic en enlaces de origen desconocido o poco fiable —pues basta con abrir una página maliciosa en Safari para activar la vulnerabilidad. Si un dispositivo ha accedido previamente a una página de aterrizaje sospechosa, debe asumirse como comprometido: las frases semilla y claves privadas se consideran expuestas, por lo que es indispensable recrear la billetera desde cero en un dispositivo limpio (nunca utilizado para visitar dicha página) y migrar todos los activos. Asimismo, se recomienda auditar exhaustivamente los registros de transacciones anómalas y los estados de autorización de tokens en todas las redes blockchain, revocando (Revoke) de inmediato cualquier autorización innecesaria.
Según el análisis de SlowMist, tras la divulgación pública del código de explotación correspondiente en marzo de 2026, la variante DarkSword-PROV2 apareció por primera vez en GitHub en julio del mismo año; para finales de septiembre, ya se había observado que su infraestructura de ataque asociada entraba oficialmente en operación y se empleaba activamente en escenarios reales. El equipo de SlowMist no solo ha monitoreado de forma continua sus infraestructuras en línea activas, sino que también logró vincular con éxito su panel de gestión con los repositorios de código públicos alojados en GitHub, además de realizar una descomposición inversa y validación funcional de sus módulos de explotación, rutas de distribución maliciosa y capacidades de movimiento lateral tras la compromisión del dispositivo.
Los hallazgos clave revelados en el informe incluyen:
· Una canalización de ataque extremadamente automatizada de extremo a extremo —que abarca la activación del exploit mediante entrega web, la recopilación de huellas digitales del dispositivo y datos sensibles, el robo multidimensional de información y la concentración dirigida de fondos desde billeteras criptográficas;
· Un alcance de robo de datos que va más allá de lo habitual: además de acceder al Keychain, archivos locales y mensajes SMS, el kit de herramientas está especialmente optimizado para extraer datos de billeteras criptográficas, pudiendo descifrarlas y transferir sus fondos directamente;
· Aunque su documentación oficial afirma compatibilidad con iOS 13 o superior, el análisis a nivel de código confirma que su explotación efectiva se limita únicamente a dos rangos específicos: iOS 18.6–18.7.2 e iOS 26.0–26.1;
· Los componentes de vulnerabilidad originalmente públicos han sido profundamente armados y ahora se integran sin fisuras en un marco de ataque listo para desplegarse inmediatamente, reduciendo drásticamente la barrera técnica necesaria para lanzar ataques altamente sigilosos contra dispositivos iOS.
Ante estos riesgos, SlowMist recomienda medidas concretas de protección: los usuarios deben actualizar inmediatamente sus sistemas iOS y evitar absolutamente hacer clic en enlaces de origen desconocido o poco fiable —pues basta con abrir una página maliciosa en Safari para activar la vulnerabilidad. Si un dispositivo ha accedido previamente a una página de aterrizaje sospechosa, debe asumirse como comprometido: las frases semilla y claves privadas se consideran expuestas, por lo que es indispensable recrear la billetera desde cero en un dispositivo limpio (nunca utilizado para visitar dicha página) y migrar todos los activos. Asimismo, se recomienda auditar exhaustivamente los registros de transacciones anómalas y los estados de autorización de tokens en todas las redes blockchain, revocando (Revoke) de inmediato cualquier autorización innecesaria.
