📢 Tin nhanh
SlowMist công bố báo cáo phân tích phần mềm độc hại DarkSword: Mã nguồn mở bị biến thành vũ khí, ví tiền mã hóa trên iOS đang đối mặt với mối đe dọa
Vào ngày 19 tháng 10, tổ chức an ninh SlowMist đã công bố một báo cáo tình báo đe dọa chuyên sâu, tập trung vào phần mềm độc hại DarkSword và toàn bộ chuỗi tấn công trên nền tảng iOS. Báo cáo tái hiện hệ thống quá trình phát triển cơ sở hạ tầng tấn công và khẳng định rõ mối đe dọa thực tế nghiêm trọng mà nó gây ra đối với người dùng tài sản mã hóa.
Theo phân tích của SlowMist, kể từ khi mã khai thác liên quan được công khai vào tháng 3 năm 2026, phiên bản DarkSword-PROV2 lần đầu xuất hiện trên GitHub vào tháng 7 cùng năm; đến cuối tháng 9, cơ sở hạ tầng tấn công đi kèm đã được quan sát là đã chính thức hoạt động và đưa vào sử dụng thực chiến. Đội ngũ SlowMist không chỉ theo dõi liên tục các thành phần cơ sở hạ tầng đang hoạt động mà còn thành công trong việc liên kết bảng điều khiển quản trị với kho mã nguồn công khai trên GitHub, đồng thời tiến hành phân tích ngược và xác minh chức năng đối với mô-đun khai thác, phương thức phát tán phần mềm độc hại và khả năng di chuyển ngang (lateral movement) sau khi thiết bị bị chiếm quyền.
Các phát hiện cốt lõi được tiết lộ trong báo cáo bao gồm:
· Một quy trình tấn công tự động hóa cao, từ đầu đến cuối — bao gồm kích hoạt lỗ hổng để phát tán, thu thập dấu vân tay thiết bị và dữ liệu nhạy cảm, đánh cắp dữ liệu đa chiều, cũng như tập trung có chủ đích số tiền trong ví mã hóa;
· Phạm vi đánh cắp dữ liệu vượt xa mức thông thường: ngoài Keychain, tập tin cục bộ và tin nhắn SMS, bộ công cụ còn được tăng cường đặc biệt nhằm trích xuất dữ liệu ví mã hóa — có khả năng giải mã ví và thực hiện chuyển tiền;
· Dù nhà phát triển tuyên bố hỗ trợ iOS 13 trở lên, phân tích ở cấp độ mã nguồn xác nhận rằng khả năng khai thác hiệu quả thực tế chỉ giới hạn trong hai khoảng phiên bản cụ thể: iOS 18.6–18.7.2 và iOS 26.0–26.1;
· Các thành phần lỗ hổng vốn được công khai trước đây đã bị “vũ khí hóa” sâu sắc, được tích hợp liền mạch vào khung tấn công sẵn sàng triển khai ngay lập tức — làm giảm đáng kể ngưỡng kỹ thuật cần thiết để thực hiện các cuộc tấn công iOS mang tính ẩn danh cao.
Để ứng phó với những rủi ro nêu trên, SlowMist đề xuất các biện pháp phòng vệ cụ thể: người dùng cần cập nhật hệ điều hành iOS ngay lập tức và tuyệt đối tránh nhấn vào bất kỳ liên kết nào có nguồn gốc không rõ ràng hoặc thiếu độ tin cậy — bởi chỉ cần mở trang web độc hại trong Safari cũng đủ để kích hoạt lỗ hổng. Nếu thiết bị từng truy cập vào trang đích khả nghi, người dùng phải ngay lập tức coi như cụm từ khôi phục (mnemonic phrase) và khóa riêng tư (private key) đã bị rò rỉ, và bắt buộc phải tạo lại ví trên một thiết bị “sạch” chưa từng tương tác với trang đó, đồng thời di chuyển toàn bộ tài sản sang ví mới. Đồng thời, cần kiểm toán toàn diện các giao dịch bất thường và trạng thái ủy quyền token trên mọi mạng blockchain, đồng thời hủy bỏ (Revoke) ngay lập tức mọi ủy quyền không cần thiết.
Theo phân tích của SlowMist, kể từ khi mã khai thác liên quan được công khai vào tháng 3 năm 2026, phiên bản DarkSword-PROV2 lần đầu xuất hiện trên GitHub vào tháng 7 cùng năm; đến cuối tháng 9, cơ sở hạ tầng tấn công đi kèm đã được quan sát là đã chính thức hoạt động và đưa vào sử dụng thực chiến. Đội ngũ SlowMist không chỉ theo dõi liên tục các thành phần cơ sở hạ tầng đang hoạt động mà còn thành công trong việc liên kết bảng điều khiển quản trị với kho mã nguồn công khai trên GitHub, đồng thời tiến hành phân tích ngược và xác minh chức năng đối với mô-đun khai thác, phương thức phát tán phần mềm độc hại và khả năng di chuyển ngang (lateral movement) sau khi thiết bị bị chiếm quyền.
Các phát hiện cốt lõi được tiết lộ trong báo cáo bao gồm:
· Một quy trình tấn công tự động hóa cao, từ đầu đến cuối — bao gồm kích hoạt lỗ hổng để phát tán, thu thập dấu vân tay thiết bị và dữ liệu nhạy cảm, đánh cắp dữ liệu đa chiều, cũng như tập trung có chủ đích số tiền trong ví mã hóa;
· Phạm vi đánh cắp dữ liệu vượt xa mức thông thường: ngoài Keychain, tập tin cục bộ và tin nhắn SMS, bộ công cụ còn được tăng cường đặc biệt nhằm trích xuất dữ liệu ví mã hóa — có khả năng giải mã ví và thực hiện chuyển tiền;
· Dù nhà phát triển tuyên bố hỗ trợ iOS 13 trở lên, phân tích ở cấp độ mã nguồn xác nhận rằng khả năng khai thác hiệu quả thực tế chỉ giới hạn trong hai khoảng phiên bản cụ thể: iOS 18.6–18.7.2 và iOS 26.0–26.1;
· Các thành phần lỗ hổng vốn được công khai trước đây đã bị “vũ khí hóa” sâu sắc, được tích hợp liền mạch vào khung tấn công sẵn sàng triển khai ngay lập tức — làm giảm đáng kể ngưỡng kỹ thuật cần thiết để thực hiện các cuộc tấn công iOS mang tính ẩn danh cao.
Để ứng phó với những rủi ro nêu trên, SlowMist đề xuất các biện pháp phòng vệ cụ thể: người dùng cần cập nhật hệ điều hành iOS ngay lập tức và tuyệt đối tránh nhấn vào bất kỳ liên kết nào có nguồn gốc không rõ ràng hoặc thiếu độ tin cậy — bởi chỉ cần mở trang web độc hại trong Safari cũng đủ để kích hoạt lỗ hổng. Nếu thiết bị từng truy cập vào trang đích khả nghi, người dùng phải ngay lập tức coi như cụm từ khôi phục (mnemonic phrase) và khóa riêng tư (private key) đã bị rò rỉ, và bắt buộc phải tạo lại ví trên một thiết bị “sạch” chưa từng tương tác với trang đó, đồng thời di chuyển toàn bộ tài sản sang ví mới. Đồng thời, cần kiểm toán toàn diện các giao dịch bất thường và trạng thái ủy quyền token trên mọi mạng blockchain, đồng thời hủy bỏ (Revoke) ngay lập tức mọi ủy quyền không cần thiết.
