📢 Новости
Медленный Туман опубликовал отчёт по анализу трояна DarkSword: открытый исходный код был превращён в оружие, кошельки для iOS под угрозой
19 октября компания по кибербезопасности SlowMist опубликовала подробный отчёт о разведданных угроз, посвящённый бэкенду вредоносной программы DarkSword и полной цепочке атак на платформе iOS. В отчёте системно восстановлена эволюция инфраструктуры атаки и чётко обозначена её серьёзная и реальная угроза для пользователей криптоактивов.
Согласно анализу SlowMist, после публикации эксплойт-кода, связанного с уязвимостью, в марте 2026 года модификация DarkSword-PROV2 впервые появилась на GitHub в июле того же года; к концу сентября была зафиксирована официальная активация соответствующей инфраструктуры атаки и её переход в боевой режим. Команда SlowMist не только постоянно отслеживает действующие онлайн-компоненты этой инфраструктуры, но и успешно установила связь между панелью управления и открытым репозиторием кода на GitHub, а также провела реверс-инжиниринг и функциональную верификацию модулей эксплойтов, путей доставки вредоносного ПО и возможностей горизонтального перемещения по заражённым устройствам.
Ключевые выводы отчёта включают:
· Высокостепенную автоматизированную сквозную атакующую конвейерную систему — от триггеризации уязвимости и доставки вредоносного кода до сбора цифровых отпечатков устройств и конфиденциальных данных, многомерного кражи информации и целенаправленного объединения средств из криптокошельков;
· Расширенные возможности кражи данных: помимо Keychain, локальных файлов и SMS-сообщений, инструментарий специально усилен для извлечения данных криптокошельков — в том числе поддерживает расшифровку кошельков и последующий вывод средств;
· Несмотря на заявленную совместимость с iOS 13 и выше, анализ на уровне исходного кода подтверждает, что эффективное использование уязвимости ограничено двумя конкретными диапазонами версий: iOS 18.6–18.7.2 и iOS 26.0–26.1;
· Изначально открытые компоненты уязвимости были глубоко «вооружены» и бесшовно интегрированы в готовый к развертыванию атакующий фреймворк, что существенно снизило технический порог для запуска высокозамаскированных атак на устройства iOS.
В ответ на выявленные риски SlowMist даёт следующие практические рекомендации по защите: пользователи должны незамедлительно обновить операционную систему iOS и категорически избегать перехода по ссылкам неизвестного или недоверенного происхождения — ведь для активации уязвимости достаточно просто открыть вредоносную страницу в Safari. Если устройство уже посещало подозрительную целевую страницу, следует немедленно считать мнемоническую фразу и приватный ключ скомпрометированными и полностью восстановить кошелёк на чистом устройстве, которое никогда не открывало данную страницу, а затем перенести на него все активы. Кроме того, необходимо тщательно проанализировать историю транзакций и статусы токен-разрешений (token approvals) во всех блокчейн-сетях и немедленно отозвать (Revoke) все необязательные разрешения.
Согласно анализу SlowMist, после публикации эксплойт-кода, связанного с уязвимостью, в марте 2026 года модификация DarkSword-PROV2 впервые появилась на GitHub в июле того же года; к концу сентября была зафиксирована официальная активация соответствующей инфраструктуры атаки и её переход в боевой режим. Команда SlowMist не только постоянно отслеживает действующие онлайн-компоненты этой инфраструктуры, но и успешно установила связь между панелью управления и открытым репозиторием кода на GitHub, а также провела реверс-инжиниринг и функциональную верификацию модулей эксплойтов, путей доставки вредоносного ПО и возможностей горизонтального перемещения по заражённым устройствам.
Ключевые выводы отчёта включают:
· Высокостепенную автоматизированную сквозную атакующую конвейерную систему — от триггеризации уязвимости и доставки вредоносного кода до сбора цифровых отпечатков устройств и конфиденциальных данных, многомерного кражи информации и целенаправленного объединения средств из криптокошельков;
· Расширенные возможности кражи данных: помимо Keychain, локальных файлов и SMS-сообщений, инструментарий специально усилен для извлечения данных криптокошельков — в том числе поддерживает расшифровку кошельков и последующий вывод средств;
· Несмотря на заявленную совместимость с iOS 13 и выше, анализ на уровне исходного кода подтверждает, что эффективное использование уязвимости ограничено двумя конкретными диапазонами версий: iOS 18.6–18.7.2 и iOS 26.0–26.1;
· Изначально открытые компоненты уязвимости были глубоко «вооружены» и бесшовно интегрированы в готовый к развертыванию атакующий фреймворк, что существенно снизило технический порог для запуска высокозамаскированных атак на устройства iOS.
В ответ на выявленные риски SlowMist даёт следующие практические рекомендации по защите: пользователи должны незамедлительно обновить операционную систему iOS и категорически избегать перехода по ссылкам неизвестного или недоверенного происхождения — ведь для активации уязвимости достаточно просто открыть вредоносную страницу в Safari. Если устройство уже посещало подозрительную целевую страницу, следует немедленно считать мнемоническую фразу и приватный ключ скомпрометированными и полностью восстановить кошелёк на чистом устройстве, которое никогда не открывало данную страницу, а затем перенести на него все активы. Кроме того, необходимо тщательно проанализировать историю транзакций и статусы токен-разрешений (token approvals) во всех блокчейн-сетях и немедленно отозвать (Revoke) все необязательные разрешения.
