P7 DarkSword新变种曝光，iPhone钱包数据可被窃取并远程操控

FreeBuf

2026年10月12日 18:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

网络安全研究人员披露了此前未被观测到的DarkSword iOS漏洞利用工具包变种，名为P7 DarkSword。

iVerify在周四发布的最新报告中表示：“与我们通常观测到的变种相比，P7缩小了在设备上的驻留体积，新增了本地钥匙串与加密钱包数据窃取能力，还加入了与攻击者基础设施的双向C2通信功能。”

该变种之所以命名为“P7”，是因为威胁行为者修改原始DarkSword代码时，使用了“p7\_”作为变量前缀。

今年3月，谷歌威胁情报组（GTIG）、iVerify与Lookout首次公开记录了DarkSword的相关信息，指出其可攻击运行iOS 18.4至18.7版本的iPhone。该工具包于2025年11月被发现存在野外利用活动。

该工具包可串联多个iOS漏洞，突破浏览器沙箱，提升至内核权限，再将主载荷注入负责应用启动与主屏幕管理的iOS进程SpringBoard。研究人员评估认为，这套漏洞利用链本是商业产品，后流入二手交易市场，自2025年末开始被牟利型攻击者及其他威胁行为者获取。

目前已有多个威胁行为者使用该工具包发起攻击，目标覆盖沙特阿拉伯、土耳其、马来西亚与乌克兰。其中土耳其商业监控厂商PARS Defense通过仿冒Snapchat主题网站实施攻击，亲俄威胁行为者Star Blizzard（又名COLDRIVER）则使用虚假邀请作为诱饵。

2026年8月，攻击面管理平台Censys披露了一起未知中文威胁行为者发起的攻击活动。该活动除使用该漏洞利用工具包攻击Apple iOS设备外，还会投放仿冒Apple ID登录页面。

iVerify表示，就在上个月，其观测到“多起失败的框架更新尝试，疑似借助LLM辅助，目的是让工具包支持iOS 26.x版本”。该漏洞利用工具包在公开披露后不久即遭泄露，直接催生了这些更新尝试。

这些变种的优化方向集中在三点：提升运行稳定性、增强隐蔽性，以及提高窃取数据的质量。P7 DarkSword正是上述优化方向的落地版本：它移除了HTTP请求与syslog中的调试日志，还利用浏览器localStorage机制防止设备被重复利用。旧版本会直接复制钥匙串数据库并外传至攻击者基础设施处理，新版本则先在本地设备上将钥匙串数据提取为JSON格式，再执行外传操作。

Part01

植入体注入SpringBoard进程

支持十余类远程控制命令

iVerify表示：“植入体注入SpringBoard进程后，所有与攻击者基础设施的通信都由该进程承载。”

这一最新版本每15秒轮询一次待执行命令，可发送“心跳”消息与已安装应用列表。它还能外传iCloud钥匙串信息，以及苹果备忘录、照片、加密钱包等应用的数据。

设备定期轮询任务后收到的响应，包含需要在受害者手机上执行的命令，具体功能如下：

• execute\_command：执行ls、dir、cat、mkdir、rm、echo、ps、memdump、ipconfig、netstat、whoami等操作系统命令
• ls：列出目录内容
• download：读取设备本地文件并上传至C2服务器
• photos：上传\"/var/mobile/Media/DCIM\"路径下的照片文件
• apps：枚举应用容器并提取bundle ID
• exec：在植入体运行时环境中直接执行任意JavaScript代码
• file\_upload：递归扫描一个或多个路径，上传符合条件的文件
• basic\_info：向C2服务器发送设备元数据
• disk\_scan：从根目录\"/,\"开始递归扫描文件系统，记录文件、目录、符号链接的元数据，以报告形式上传相关信息
• ios\_app\_data：查找指定bundle ID对应的应用沙箱与应用组容器，上传选定的应用文件
• wallet\_scan：扫描设备中已安装的钱包应用
• wallet\_extract：提取imToken钱包应用的相关数据
• memo\_scan：上传苹果备忘录数据库
• photo\_scan：上传苹果照片应用中的图片
• sleep：修改信标轮询间隔
• exit：终止信标循环，停止植入体运行

Part02

五台主机泄露攻击活动线索

本次披露发布的同时，Censys表示其在5台主机上发现了开放目录，目录中存储有DarkSword与Coruna的相关组件。Coruna是今年曝光的另一款iOS漏洞利用工具包，已被武器化用于攻击运行iOS 13.0至17.2.1版本的iPhone。

Censys表示：“Coruna是同一黑产生态分发的配套载荷工具包。DarkSword的漏洞利用阶段执行完成后，Coruna的攻击阶段会在受害者的浏览器会话中运行，其钱包窃取模块可从iOS应用中盗取加密货币助记词、余额信息与密钥库数据。攻击者通常会搭配使用DarkSword与Coruna，对接自己的C2基础设施开展攻击。”

5台主机的具体信息如下：

• 43.134.165[.]205：承载DS-Fusion v1.0（又名DarkSword Fusion），这是一款将DarkSword与Coruna打包为一体的整合工具包
• 166.88.95[.]90：作为植入体的C2服务器运行；2026年9月6日，该服务器记录到两台真实的中国iOS设备（IP分别为183.154.173[.]30、182.239.114[.]223）连续数小时每3秒轮询一次信标页面
• 23.148.212[.]237：作为分析工作区使用，日志显示攻击者正在开发适配iOS 26的漏洞利用链（如CVE-2026-31001），这些漏洞不在DarkSword与Coruna的覆盖范围内
• 47.102.192[.]23：作为Coruna工具包的暂存主机
• 156.239.230[.]120：暴露了完整的C2平台，2026年9月15日研究人员观测到该平台曾向一台设备发送轮询指令

研究人员对生产服务器的漏洞利用记录进行分析后发现，DarkSword漏洞利用工具包包含两个此前未被公开记录的CVE编号：

• CVE-2025-24201：WebKit引擎中的越界写入漏洞，攻击者可利用该漏洞突破Web内容沙箱（苹果已在iOS 18.3.2与iPadOS 18.3.2版本中修复该漏洞）
• CVE-2025-31200：Core Audio框架中的内存损坏漏洞，当设备处理恶意构造媒体文件中的音频流时，可触发代码执行（苹果已在iOS 18.4.1与iPadOS 18.4.1版本中修复该漏洞）

研究人员怀疑，上述开放目录集群与156.239.230[.]120平台由一名中文威胁行为者运营，目的是窃取加密钱包数据，但目前尚无法确认攻击者的真实身份。

Censys研究员Aidan Holland表示：“该平台运营着中文圈的漏洞利用即服务业务，其管理面板暴露了代理/经销商模式。研究人员在一份恢复的生产服务器副本中，发现了11条受害者的助记词、179个设备战利品目录，以及包含75个账号的控制面板名单。”

Censys还检测到另一名位于中国的攻击者，在野外使用同一工具包对接自有C2服务器“66ds[.]lol”发起攻击，其攻击目标新增了开放目录样本中未包含的加密钱包BitKeep。这些发现再次表明，该工具包正在牟利型攻击者群体中快速扩散。

Censys表示：“该攻击者使用腾讯与沈阳的主机服务，研究人员通过一个唯一的自签名证书颁发机构，可将相关活动关联到同一名攻击者。”

参考来源：

P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands

https://thehackernews.com/2026/10/p7-darksword-ios-exploit-kit-adds.html

推荐阅读

电报讨论