慢霧がDarkSwordトロイの木馬の分析報告を発表：公開コードが武器化され、iOS向け暗号資産ウォレットが脅威にさらされる

10月19日、セキュリティ機関SlowMist（スローミスト）は、DarkSwordトロイの木馬のバックエンドおよびiOSプラットフォーム上における完全な攻撃チェーンに焦点を当てた詳細な脅威インテリジェンス報告書を公開した。本報告書では、攻撃インフラの進化過程を体系的に再構築し、暗号資産ユーザーに対して現実的かつ深刻な脅威が存在することを明確に指摘している。

スローミストによる分析によると、関連する脆弱性のエクスプロイトコードが2026年3月に公開されて以降、DarkSword-PROV2は同年7月にGitHub上で初めて確認された。さらに9月下旬には、これに付随する攻撃インフラが実際に稼働を開始し、実戦投入されていることが観測された。スローミストチームは、その活動中のオンラインインフラを継続的に監視するとともに、管理パネルとGitHub上で公開されているコードリポジトリとの関連付けに成功。さらに、エクスプロイトモジュール、悪意ある配信経路、およびデバイス感染後の横方向移動能力について、逆アセンブルおよび機能検証を実施した。

報告書で明らかにされた主な発見は以下の通りである：
・脆弱性のトリガーから配信、デバイス指紋および機微データの収集、多角的なデータ窃取、そして暗号ウォレット資金の目的別集約までをカバーする、高度に自動化されたエンドツーエンド攻撃パイプライン；
・従来のデータ収集範囲を大幅に超える機能：キーチェーン（Keychain）、ローカルファイル、SMSメッセージに加え、暗号ウォレットデータの抽出を特化して強化しており、ウォレットの復号処理および資金移転を実行可能；
・公式にはiOS 13以降との互換性が謳われているものの、コードレベルでの分析により、実際の有効な脆弱性利用は「iOS 18.6～18.7.2」と「iOS 26.0～26.1」の二つの特定バージョン範囲に限定されていることが確認された；
・当初公開されていた脆弱性コンポーネントは、すでに深く兵器化され、即時展開可能な攻撃フレームワークへシームレスに組み込まれており、高隠蔽性のiOS攻撃を実行する技術的ハードルが著しく低下している。

こうしたリスクに対し、スローミストは具体的な防御策を提言している：ユーザーはiOSシステムを速やかに最新版へ更新するとともに、出所不明または信頼できないリンクを一切クリックしないよう厳重に注意すべきである——なぜなら、Safariで悪意のあるページを開くだけで脆弱性がトリガーされるためである。万が一、疑わしいランディングページにアクセスした履歴がある場合は、直ちにそのデバイス上のパスフレーズおよび秘密鍵が既に漏洩したものと仮定し、当該ページに一切接触していない「クリーンなデバイス」を用いてウォレットを再構築し、全資産を移管しなければならない。また、各ブロックチェーンネットワークにおける異常なトランザクション記録およびトークンの承認（Authorization）状態を包括的に監査し、不要な承認はすべて直ちに取り消す（Revoke）必要がある。