Исследователи обнаружили новый вариант шпионского ПО DarkSword, затрагивающий непатчированные iPhone

Немного контекста

Ранее в этом году Google и iVerify раскрыли два сложных инструмента взлома iPhone, известных какКоруньяиDarkswordОба из них привязали несколько уязвимостей iOS к устройствам с устаревшими версиями системы.

В случае с DarkSword, когда iPhone был взломан, злоумышленники могли развернуть дополнительное вредоносное ПО с доступом к конфиденциальным данным.

Coruna нацелена на устройства под управлением iOS 13 через iOS 17.2.1, в то время как DarkSword повлиял на iPhone под управлением iOS 18.4 через iOS 18.7. Это привело Apple квыпуск системных обновленийдля затронутых более старых версий iOS, включая iOS 15.8.7, iOS 16.7.15 и iOS 18.7.7. Apple зашла так далеко, что сделала необычный шаг, сделав iOS 18.7.7 доступной для устройств, которые могли бы установить iOS 26, поэтому пользователи, которые решили не обновляться до последней версии системы, также останутся защищены от DarkSword.

В то время Google заявила, что DarkSword используется несколькими поставщиками коммерческого наблюдения и предполагаемыми государственными субъектами, причем атаки наблюдаются против целей в Саудовской Аравии, Турции, Малайзии и Украине.

Новый вариант DarkSword найден в дикой природе

Сегодня iVerifyобъявленныйобнаружение P7 DarkSword, ранее неизвестного варианта, было обнаружено во время расследования инфекции на iPhone сотрудника финансового учреждения всего два месяца назад.

В дополнительных деталях, которыми поделился с 9to5Mac, iVerify отметил, что P7 расширяет совместимость с iOS 18.7, по сравнению с iOS 18.6 в более раннем варианте, который он отслеживал. Другие развертывания DarkSwordзамечено Googleподдерживается iOS 18.7.

Компания также заявила, что агент угрозы, стоящий за P7, распространяет его через вредоносную рекламу в рамках атак на водопои, что означает, что жертвы не обязательно являются индивидуальной целью. Вместо этого пользователи могут попасть в более широкие кампании, просто столкнувшись с вредоносным или скомпрометированным веб-контентом. Из этогодоклад:

В августе 2026 года мы исследовали инфекцию DarkSword, которая оказалась ранее невидимым вариантом, который мы называем P7 DarkSword. Название P7 происходит от угрозы использования актеромp7_префикс переменной в модификациях исходного кода DarkSword. По сравнению с вариантами, которые мы обычно наблюдаем, P7 уменьшает свое присутствие на устройстве, добавляет кражу ключей и криптокошелька на устройстве и добавляет два способа связи C2 с инфраструктурой злоумышленника. В этом посте описывается расследование, возможности варианта и показатели, которые могут быть использованы для его обнаружения

P7 DarkSword улучшает более ранние варианты в трех основных областях: скрытность, стабильность и функциональность. Новый вариант сокращает журналирование и количество выполняемых им инъекций процесса, использует хранилище браузера, чтобы избежать многократного использования одного и того же устройства, и расширяет возможности кражи данных.

iVerify также сообщила 9to5Mac, что изменения, по-видимому, отражают существенную работу операторов, а не простые изменения с помощью ИИ. Компания говорит, что P7 гораздо лучше скрывает себя и очищает свое поведение, поэтому предыдущие показатели компромисса больше не действительны.

В частности, iVerify говорит, что P7 может извлекать данные Keychain непосредственно на iPhone, прежде чем отправлять их злоумышленникам, вместо того, чтобы копировать всю базу данных Keychain для обработки в другом месте.

P7 DarkSword также может нацеливаться на данные криптокошелька и внедрять более продвинутую двустороннюю связь с инфраструктурой командования и управления злоумышленников.

Эта двусторонняя связь также дает злоумышленникам значительно больший контроль над зараженным устройством. Согласно iVerify, P7 может получать команды для извлечения произвольных файлов, загрузки фотографий, инвентаризации установленных приложений, доступа к базам данных Apple Notes, сбора данных из отдельных контейнеров приложений и сканирования файловой системы устройства.

По умолчанию шпионское ПО проверяется на сервере управления и командования злоумышленников каждые 15 секунд для получения новых инструкций, хотя этот интервал может быть изменен удаленно. Стоит отметить, что P7 — это не новая уязвимость iOS, а скорее новая версия вредоносного ПО, развернутая после успешного компромисса DarkSword. iVerify не сообщает, какая версия iOS была запущена на устройстве, где P7 был обнаружен в августе.