ZONE.CI 全球网

该威胁情报报告分析DarkSwordiOS利用链，该链针对iOS18.4至18.6.2设备，由六个CVE组成，其中三个为在野0day。攻击代码已泄露至GitHub并被部署为完整运营包，包含利用链、服务端、管理后台及数据库。攻击基础设施包括多个域名和服务器，面板显示总访问量6115次、设备57台、窃取记录10125条。管理后台与公开仓库DarkSword-PROV2完全对应，利用链与上游代码存在差异，攻击方追加了主机改写逻辑。

慢雾披露DarkSword木马从GitHub泄露源码到形成完整运营平台仅用四个月，整合漏洞投递、数据窃取与资金归集能力，实际可利用窗口仅为iOS18.6至18.7.2及26.0至26.1，攻击者通过伪装落地页触发Safari漏洞，窃取钥匙串、钱包助记词等敏感数据并实现自动化转币，建议用户及时升级系统并警惕不明链接。

iOS26.4引入非公开entitlementcom.apple.security.script-restrictions限制系统进程动态加载JavaScriptCore框架，旨在防御无文件代码执行攻击。该机制通过进程签名验证实现，当高风险进程尝试创建JS执行上下文时触发崩溃。文章通过macOS环境实测验证防御有效性，并解析底层os_security_config\\_getAPI的检测逻辑。

该威胁情报报告分析DarkSwordiOS利用链，该链针对iOS18.4至18.6.2设备，由六个CVE组成，其中三个为在野0day。攻击代码已泄露至GitHub并被部署为完整运营包，包含利用链、服务端、管理后台及数据库。攻击基础设施包括多个域名和服务器，面板显示总访问量6115次、设备57台、窃取记录10125条。管理后台与公开仓库DarkSword-PROV2完全对应，利用链与上游代码存在差异，攻击方追加了主机改写逻辑。

慢雾披露DarkSword木马从GitHub泄露源码到形成完整运营平台仅用四个月，整合漏洞投递、数据窃取与资金归集能力，实际可利用窗口仅为iOS18.6至18.7.2及26.0至26.1，攻击者通过伪装落地页触发Safari漏洞，窃取钥匙串、钱包助记词等敏感数据并实现自动化转币，建议用户及时升级系统并警惕不明链接。

iOS26.4引入非公开entitlementcom.apple.security.script-restrictions限制系统进程动态加载JavaScriptCore框架，旨在防御无文件代码执行攻击。该机制通过进程签名验证实现，当高风险进程尝试创建JS执行上下文时触发崩溃。文章通过macOS环境实测验证防御有效性，并解析底层os_security_config\\_getAPI的检测逻辑。

iOS26.4引入非公开entitlementcom.apple.security.script-restrictions限制系统进程动态加载JavaScriptCore框架，旨在防御无文件代码执行攻击。该机制通过进程签名验证实现，当高风险进程尝试创建JS执行上下文时触发崩溃。文章通过macOS环境实测验证防御有效性，并解析底层os_security_config\\_getAPI的检测逻辑。

P7DarkSword是DarkSwordiOS漏洞利用工具包的新变种，新增本地钥匙串与加密钱包数据窃取能力，支持双向C2通信及远程操控。该工具包被多个威胁行为者用于攻击沙特、土耳其等国目标，并关联两个未公开CVE漏洞。建议相关组织加强iOS设备安全监测，关注该工具包攻击基础设施指标。

DarkSword漏洞套件新变种P7通杀iOS18.4至18.7，通过WebKit越界写(CVE-2025-24201)与CoreAudio堆破坏(CVE-2025-31200)双漏洞串联实现沙箱逃逸与内核提权，注入SpringBoard核心进程。该变种具备本地Keychain内存直解、localStorage防重入等工程化改进，核心目标是精准窃取imToken等钱包私钥及相册助记词。黑产已构建EaaS分销体系并疑似利用LLM辅助武器化漏洞。建议及时关注底层补丁，避免将高价值私钥明文存入相册备忘录。

P7DarkSword是DarkSwordiOS漏洞利用工具包的新变种，新增本地钥匙串与加密钱包数据窃取能力，支持双向C2通信及远程操控。该工具包被多个威胁行为者用于攻击沙特、土耳其等国目标，并关联两个未公开CVE漏洞。建议相关组织加强iOS设备安全监测，关注该工具包攻击基础设施指标。

文章总结： CorunaiOS漏洞C2系统存在前台敏感信息泄露漏洞，影响iOS15.2至17.2.1等多版本。漏洞源于exploitserver.py中doGE

文章总结： 暗网论坛售卖iOS利用套件DarkSword与Coruna，经分析实为2026年3月已公开披露的漏洞利用链二次转售，非真正0-Day。卖家账号信誉低

文章总结： 文档披露iOS18.6.2等版本存在DarkSword/CorunaWebKit高危漏洞，黑客冒用极点云名义发起钓鱼活动，通过恶意网页窃取用户照片、

文章总结： 慢雾安全团队披露针对iOSSafari的DarkSword攻击链，通过伪装VPS活动页面投递恶意loader，精准筛选iOS18.4-18.6.2的

文章总结： 该文档记录了作者在受控环境中复现DarkSword间谍软件基础设施的研究过程，重点探讨了基于浏览器的iOS攻击中JavaScript可窃取的设备信息

文章总结： 本文针对苹果系统更新要求，分析了名为Darksword的iOS高危漏洞利用工具包，该工具包通过Safari点击链接即可完全控制设备并窃取金融数据后自

文章总结： 本文通过复现DarkSword间谍软件的浏览器C2基础设施，展示了JavaScript在iOS设备上可窃取的敏感信息范围。研究揭示了无需安装应用即可

文章总结： 本文通过复现DarkSword间谍软件的浏览器C2基础设施，展示了JavaScript在iOS设备上可窃取的敏感信息范围。研究揭示了无需安装应用即可

文章总结： DarkSwordiOS高级黑客工具于2026年3月被泄露，实现零点击攻击：用户仅访问恶意网页即可被静默接管，窃取通讯录、短信、钥匙串等敏感数据。工

文章总结： 本文通过构建基于浏览器的iOSC2服务器，研究了JavaScript在iPhone上的信息窃取能力。研究发现无需安装应用即可获取设备指纹、屏幕参数、

文章总结： 该文档记录了作者在受控环境中复现DarkSword间谍软件基础设施的研究过程，重点探讨了基于浏览器的iOS攻击中JavaScript可窃取的设备信息

文章总结： DarkSwordiOS高级黑客工具于2026年3月被泄露，实现零点击攻击：用户仅访问恶意网页即可被静默接管，窃取通讯录、短信、钥匙串等敏感数据。工

文章总结： DarkSwordiOS高级黑客工具于2026年3月被泄露，实现零点击无文件攻击，仅访问网页即可静默窃取通讯录、短信、钥匙串等敏感数据。工具利用We

文章总结： 谷歌威胁情报小组（GTIG）发现了一种名为DarkSword的新型iOS全链攻击工具，它利用多个零日漏洞来完全控制设备。该工具已被多个商业监控厂商和

文章总结： 本文针对苹果系统更新要求，分析了名为Darksword的iOS高危漏洞利用工具包，该工具包通过Safari点击链接即可完全控制设备并窃取金融数据后自