📢 Berita
SlowMist merilis laporan analisis malware DarkSword: kode sumber terbuka dijadikan senjata, dompet kripto iOS menghadapi ancaman
Pada 19 Oktober, lembaga keamanan SlowMist merilis laporan intelijen ancaman mendalam yang berfokus pada backend trojan DarkSword dan seluruh rantai serangan lengkapnya di platform iOS. Laporan ini merekonstruksi secara sistematis evolusi infrastruktur serangan dan secara eksplisit menegaskan ancaman nyata yang ditimbulkannya terhadap pengguna aset kripto.
Menurut analisis SlowMist, sejak kode eksploitasi terkait dipublikasikan secara terbuka pada Maret 2026, varian DarkSword-PROV2 pertama kali muncul di GitHub pada Juli tahun yang sama; dan pada akhir September, infrastruktur serangan pendukungnya telah teramati secara aktif beroperasi dan digunakan dalam skenario nyata. Tim SlowMist tidak hanya terus memantau infrastruktur daring yang aktif, tetapi juga berhasil menghubungkan panel manajemen serangan dengan repositori kode publik di GitHub—serta melakukan reverse engineering dan verifikasi fungsional terhadap modul eksploitasi, jalur distribusi berbahaya, serta kemampuan operasi lateral pasca-penetrasi perangkat.
Temuan inti yang diungkap dalam laporan meliputi:
· Sebuah alur serangan end-to-end yang sangat terotomatisasi—mencakup pemicuan celah keamanan untuk distribusi payload, pengumpulan sidik jari perangkat dan data sensitif, pencurian data multi-dimensi, serta pengumpulan dana dari dompet kripto secara terarah;
· Cakupan pencurian data yang melampaui standar umum: selain Keychain, file lokal, dan pesan SMS, toolkit ini secara khusus diperkuat untuk mengekstraksi data dompet kripto—termasuk kemampuan mendekripsi dompet dan melakukan transfer dana;
· Meskipun versi resmi mengklaim kompatibel dengan iOS 13 ke atas, analisis tingkat kode membuktikan bahwa eksploitasi efektifnya hanya berlaku pada dua rentang versi spesifik: iOS 18.6–18.7.2 dan iOS 26.0–26.1;
· Komponen celah keamanan yang awalnya bersifat publik telah diubah menjadi senjata secara mendalam, dan diintegrasikan mulus ke dalam kerangka serangan siap-deploy—sehingga secara signifikan menurunkan ambang teknis untuk melancarkan serangan iOS bertingkat kesamaran tinggi.
Sebagai respons terhadap risiko tersebut, SlowMist memberikan rekomendasi perlindungan konkret: pengguna wajib segera memperbarui sistem iOS mereka dan menghindari mengklik tautan dari sumber tidak dikenal atau tidak tepercaya—karena cukup membuka halaman berbahaya di Safari untuk memicu eksploitasi. Jika perangkat pernah mengakses halaman pendaratan mencurigakan, pengguna harus langsung mengasumsikan bahwa frasa pemulihan (recovery phrase) dan kunci privat telah bocor; oleh karena itu, dompet harus dibuat ulang sepenuhnya menggunakan perangkat bersih yang sama sekali tidak pernah mengakses halaman tersebut, disertai migrasi seluruh aset. Selain itu, pengguna wajib melakukan audit menyeluruh terhadap riwayat transaksi tak wajar dan status otorisasi token di semua jaringan blockchain, serta segera mencabut (Revoke) semua otorisasi yang tidak diperlukan.
Menurut analisis SlowMist, sejak kode eksploitasi terkait dipublikasikan secara terbuka pada Maret 2026, varian DarkSword-PROV2 pertama kali muncul di GitHub pada Juli tahun yang sama; dan pada akhir September, infrastruktur serangan pendukungnya telah teramati secara aktif beroperasi dan digunakan dalam skenario nyata. Tim SlowMist tidak hanya terus memantau infrastruktur daring yang aktif, tetapi juga berhasil menghubungkan panel manajemen serangan dengan repositori kode publik di GitHub—serta melakukan reverse engineering dan verifikasi fungsional terhadap modul eksploitasi, jalur distribusi berbahaya, serta kemampuan operasi lateral pasca-penetrasi perangkat.
Temuan inti yang diungkap dalam laporan meliputi:
· Sebuah alur serangan end-to-end yang sangat terotomatisasi—mencakup pemicuan celah keamanan untuk distribusi payload, pengumpulan sidik jari perangkat dan data sensitif, pencurian data multi-dimensi, serta pengumpulan dana dari dompet kripto secara terarah;
· Cakupan pencurian data yang melampaui standar umum: selain Keychain, file lokal, dan pesan SMS, toolkit ini secara khusus diperkuat untuk mengekstraksi data dompet kripto—termasuk kemampuan mendekripsi dompet dan melakukan transfer dana;
· Meskipun versi resmi mengklaim kompatibel dengan iOS 13 ke atas, analisis tingkat kode membuktikan bahwa eksploitasi efektifnya hanya berlaku pada dua rentang versi spesifik: iOS 18.6–18.7.2 dan iOS 26.0–26.1;
· Komponen celah keamanan yang awalnya bersifat publik telah diubah menjadi senjata secara mendalam, dan diintegrasikan mulus ke dalam kerangka serangan siap-deploy—sehingga secara signifikan menurunkan ambang teknis untuk melancarkan serangan iOS bertingkat kesamaran tinggi.
Sebagai respons terhadap risiko tersebut, SlowMist memberikan rekomendasi perlindungan konkret: pengguna wajib segera memperbarui sistem iOS mereka dan menghindari mengklik tautan dari sumber tidak dikenal atau tidak tepercaya—karena cukup membuka halaman berbahaya di Safari untuk memicu eksploitasi. Jika perangkat pernah mengakses halaman pendaratan mencurigakan, pengguna harus langsung mengasumsikan bahwa frasa pemulihan (recovery phrase) dan kunci privat telah bocor; oleh karena itu, dompet harus dibuat ulang sepenuhnya menggunakan perangkat bersih yang sama sekali tidak pernah mengakses halaman tersebut, disertai migrasi seluruh aset. Selain itu, pengguna wajib melakukan audit menyeluruh terhadap riwayat transaksi tak wajar dan status otorisasi token di semua jaringan blockchain, serta segera mencabut (Revoke) semua otorisasi yang tidak diperlukan.
