从 GitHub 泄露代码到在野运营：DarkSword 木马后台与 iOS 攻击链全景复盘

Ots安全

2026年10月20日 17:16
广东

去阅读

威胁简报

恶意软件

漏洞攻击

本文基于慢雾（SlowMist）威胁情报团队 2026-10-19 发布的《DarkSword 木马后台及 iOS 攻击链分析》（X 账号 @SlowMist\_Team 同步发布要点）撰写，原文图片按原位引用，并补充了独立核实内容。文中所有结论以上述公开报告与可查证记录为准，未能独立证实的内容均已标注。

引子：一次 Safari 打开，可能意味着钱包已经不安全

如果一个网页不需要你点击任何按钮——只要用 Safari 打开——就能把你的钥匙串、短信、相册和三款加密钱包的数据读走，并且顺手把助记词解密、归集走，你会用什么词形容这套东西？

2026 年 10 月 19 日，慢雾威胁情报团队公开了一份深度分析，对象正是这样一套已经在真实世界运转的基础设施。它的名字叫 DarkSword——最初是 Google Threat Intelligence Group（GTIG）在今年 3 月披露的一条 iOS 全链利用工具，如今已经演变成一套带管理后台、带载荷库、带资金归集功能的完整运营平台。

10 月 19 日当天，慢雾在 X 上的官方账号 @SlowMist\_Team 发布了四个关键发现，可以看作是整份报告的浓缩：

• 一条完整的攻击流水线

：基础设施集成了漏洞投递、设备与数据收集、数据外传、加密钱包资金归集；
* 大范围的数据窃取能力

：目标覆盖钥匙串（Keychain）、文件、消息与加密钱包数据，另有钱包数据解密与资金归集能力；
* 声称的覆盖面远大于实际覆盖面

：工具包宣称支持 iOS 13 及以上，代码分析确认真正有效的利用窗口只有 iOS 18.6–18.7.2 与 iOS 26.0–26.1 两段；
* 公开代码被直接武器化

：原本公开的漏洞利用组件被整合为可直接部署的攻击框架，发动复杂 iOS 攻击的门槛因此大幅下降。

这份报告真正值得行业警惕的，是它把「漏洞利用代码泄露之后会发生什么」这件事完整地演示了一遍：从研究素材到开箱即用的运营包，中间只隔了四个月。

一、七个月武器化时间线：泄露、复刻、打包、上线

先把几个名字分清，后文会反复出现：

• DarkSword

：GTIG 披露的这条 iOS 利用链本身，针对 iOS 18.4–18.7；
* Coruna

：覆盖 iOS 13–17 的另一条利用链，比 DarkSword 早两周公开；
* DarkSword-PROV2

：7 月出现在 GitHub 的「运营包」仓库，含利用链、服务端、管理后台与数据库；
* ueyes

：18+ 链在源码中的内部代号；DK / DK10 是两代管理面板的名称。

整个武器化过程如下（据慢雾报告整理）：

几个关键节点值得展开说：

3 月：从在野 0day 到公开源码。 GTIG、iVerify 与 Lookout 于 3 月 18 日联合披露 DarkSword——一条由六个 CVE 组成（其中三个在被发现时仍是 0day）、针对 iOS 18.4–18.7 的全链利用工具。报告发布前后，相关代码已经流入公开渠道：3 月 6 日 Coruna 的样本与解码载荷被整理发布，3 月 21 日至 24 日五个仓库先后建库，把整条链还原成了可读源码。慢雾首席信息安全官 @im23pds 在 3 月 25 日公开预警工具已泄露。

7 月：运营包出现。 7 月 19 日，GitHub 上出现 adoemwanmei/DarkSword-PROV2。仓库里已经不是研究性质的复刻，而是能直接部署的完整套件：利用链、载荷投递服务端、管理后台、数据库、说明文档一应俱全。README 的标题是 \"DarkSword Red Team Framework\"，文档中还写着付费版本的获取方式与「技术支持 5000U」的报价。

9 月下旬：基础设施上线。 慢雾追踪发现该套件已被真实部署，投放范围并不限于 DarkSword 这一条链。与之关联的域名在 9 月 22 日三秒内批量注册，10 月 7 日主分发域与载荷 C2 在同一秒注册，10 月 8 日起域名池开始按日轮换解析——频繁更换 DNS 指向，是为了提高检测和封堵的难度。

二、全链条拆解：从诱饵页到资金归集

这套设施的完整链路可以分成四层：投递、利用、后利用、变现。

投递层：短链、水坑与「统一入口」

投放侧的诱饵站主题各异。慢雾报告披露了至少三个同时在跑的主题化落地页：

• 877k[.]org

：伪装成「AI 股票分析器」工具站（页面品牌为 InsightAlpha）；
* 8ll[.]im

：伪装成高端腕表回收服务，文案包含劳力士、百达翡丽等品牌与具体报价数字，页面直接引入投递 SDK 与利用链入口，访客打开即触发，无需点击；
* 3ll[.]im

：同属 Nll.im 命名体系，页面标题「全域AI」。

访问任何一个镜像域或主分发域的根地址，服务器都会把浏览器带到同一个页面——一段 5,098 字节的脚本，自称 Coruna 利用套件的「统一入口」，然后按系统版本分流：iOS 13–16.x 走 Coruna 原有链，iOS 17–18.x 走 DarKSward 桥接链。

在此之上还有第二层分流：分发域名上放置着 4,467 字节的 sdk.min.js，可挂载到任意落地页。页面加载后它生成 UUID 写入 cookie、解析 UA 判断系统版本，并向 /sdk/register 上报落地页域名、设备 UA，以及通过 ipv4[.]icanhazip[.]com 获取的真实出口 IP。iOS 18.4.0–18.7.2 的设备被引入 18+ 链（ueyes），其余版本进入同源链。

值得注意的是，这套设施的「客户」不止一个：DK 面板提供 /api/sdk-deploy.zip 部署包，内含 sdk.min.js、Nginx 302 配置模板与接入说明，说明中明确「设备渠道取落地页 hostname」——落地页域名即分销渠道，一张主题化页面就是一个渠道，面板据此统计各渠道转化。

利用链：ueyes 九阶段

18+ 链（ueyes）的流程为：入口页 → rce_loader.js → 按机型与版本加载的 rce_worker → sbx0_main（沙箱逃逸）→ sbx1_main（提权）→ pe_worker（后渗透）。

投递页面在受害者设备上的表现，是一个伪装成「设备安全检测」的进度界面，把从设备识别、RCE、沙箱逃逸、提权到后渗透窃取和数据回传的九个阶段逐条列出，页头显示「已完成 0 / 9」。在非 iOS 设备上打开时，入口阶段即返回 no_ios。这个界面也把各阶段内部命名暴露了出来：RCE Worker 一步标注 no_cow / tree flatten，沙箱逃逸标注 GPU 进程逃逸（sbx0），提权标注 IOSurface 内核读写（sbx1），后渗透衔接标注 pe_main.escalate(krw)——与载荷目录中的文件一一对应。

入口页还内联了一段 SHA-256 引导解密器，口令硬编码在代码里（9898asd147258）。18+ 链在源码注释中写明的适用区间为 \"LIVE band: iOS 18.4.0 - 18.7.2\"，并注明 \"18.7.3+ 已修补；18.0-18.3 无覆盖\"。

后利用：双组件驻留

攻陷成功后，设备上会留下两个组件：

• pe_worker.js（数据窃取代理）

：开头注释写明「移植自 DarkSword-RCE 18.5-18.6.2 · 33 条命令」，覆盖摄像头、麦克风、相册、通讯录、短信、WiFi 密码、定位，以及钥匙串与 iCloud 令牌提取、剪贴板读取与劫持、前台应用监控、执行 shell、安装持久化、开 SOCKS5 代理、DNS 外传与自毁；
* pe_main.js（常驻控制代理）

：注释自述 \"persistent loop in SpringBoard, runs until reboot\"——注入 SpringBoard 的常驻控制循环，C2 地址硬编码指向载荷回传域，钱包数据回传走 443 端口，1MB 分块上传。

数据外传有两条通道：一条走明文 HTTP（标注为向分发域 80 端口回传钱包数据），另一条把数据编码进 DNS 查询子域名发送。此外还有一组原生动态库管采集、提权与通道三件事，例如 nb_daemon_new.dylib 在沙箱外拉起 IPC 守护、ppl_bypass.dylib 做 XNU 的 PPL 旁路、libgrabkernel2.dylib 自动从 Apple 开发者站点拉 kernelcache 解符号。收尾环节包含清理 cron、清理 dylib 注入残余、卸载 LaunchDaemon、删除 /tmp/.ss_* 等痕迹，并具备自毁命令。

变现层：DK 面板闭环

DK 面板的接口列表可以从公开前端资源完整读出，其中一组路径直接对应资金操作：查余额、刷新余额、解密字段、归集。对应的「助记词管理」页面列出助记词、私钥、派生地址与链上余额，并提供一键归集——从解出明文到转出资金，整套动作在同一个界面内完成。

除了钱包，DK 还在开发 IM 账号接管能力：前端已做好 WhatsApp、Telegram、备忘录和访问记录四个页面，能读取 WhatsApp 的账号身份与聊天数据、枚举 Telegram 账号并读取本地数据库，但代码里仍标着「待解密（class key 未取）」——这一步还没完成。IM 会话接管是这套设施正在上线的下一项能力。

三、声称的覆盖面 vs 实际可利用窗口

这是整份报告里最有信息量的一处辨析，直接决定了「哪些 iPhone 真的会被打穿」。

三个口径要分清：

投递触达：统一入口接受 iOS 13.0 起的设备，README 声称「18.4 – 18.7」。武器库：面板内置载荷库收录 1,045 条载荷、24 个版本标签，版本号最远到 26.6.1，文件名带着 breezy、bluebird、terrorbird、seedbell、ghostblade、kernel_ace 等成体系代号，最早能追到 iOS 13.0。

实际可利用：依据攻击方自己的路由代码 main_router.js——对 26.2 之后，入口阶段 stage1 被设为空数组、提权阶段 stage3 设为空串，注释写明「26.3+ 无存活漏洞」；对 26.2 则注明「43818/64766 真实 CVE，26.2 利用未验证」。真正能凑齐各阶段走完全程的只有两个窗口：

1. iOS 18.6 – 18.7.2

：DarkSword 三条在野利用的 CVE 在这一段仍有效，18.7.0–18.7.2 连入口阶段的绕过都可以省掉；
2. iOS 26.0 – 26.1

：复用 18 系已可用的沙箱逃逸，另配一个 26 系自己的入口漏洞。

这里有一个容易误读的点：装载器从 iOS 18.4.0 起就会把设备引进 18+ 链，但路由代码里能走完全程的窗口要到 18.6 才出现——18.4 和 18.5 的设备会被引入，却利用不完整。 同理，设备列表里出现过运行 iOS 26.3、26.5.2 与 26.6.1 的设备，容易让人以为 26 系也已被攻陷；但按路由代码，26.2 之后入口阶段就是空的——那些条目只说明设备打开过落地页、在 SDK 上注册过。

在研变量是 CVE-2026-43818（ImageIO 整数溢出，CWE-190）：载荷库中 11 个 HEIF 入口文件都指向它。NVD 记录显示该漏洞修复于 iOS 26.6 与 18.7.10，CISA-ADP 给出 CVSS 3.1 8.8 High。慢雾标注该漏洞尚未真机验证——如果验证成功，攻击面将远比现在两个窗口宽。另有针对 26.6 的入口漏洞 CVE-2026-64766（同为整数溢出类，修复于 iOS 26.6）。

四、面板里的真实规模：漏斗比总量更说明问题

慢雾对现网面板做了取证，仪表盘展示的规模为：总访问量 6,115、总设备数 57、总窃取记录 10,125、iOS 日志 143,802（近 7 天口径）。攻击链漏斗按七级统计，取证时的 30 天窗口里：页面访问 20,187 次、采集器加载 20,056 次、设备活跃 1,210 次、漏洞利用 1,187 次，到利用成功只剩 10 次，最终数据外传 9 次。

两个口径窗口不同（6,115 是近 7 天，漏斗是 30 天），引用时需注明。设备归属地分布于澳大利亚、马来西亚、拉脱维亚、韩国、乌克兰，以及中国江西与中国香港。

窃取数据总览页把采集内容按类别统计：数字钱包 18 条、Keychain、WiFi 密码、通讯录、短信记录、通话记录、照片管理等各有独立计数。截至取证时，Keychain 查看器与 WiFi 密码栏计数为 0——与漏斗末端「数据外传 9 次」互相印证：这套设施的利用成功率目前还不高。

五、代码溯源：攻击方到底改了什么

慢雾把攻击方投递域上的利用链文件与公开仓库逐一比对，给出了四项相互独立的证据：

1. 文件级一致

：rce_module_18.6.js 在攻击方与 DarKSward 仓库两边 SHA-256 完全相同（37efaa42…a87445）；rce_worker.js 仓库版 43,199 字节与攻击方 rce_worker_18.4.js 47,801 字节前 4,000 字节完全一致；
2. 注释自证

：攻击方 18.5 worker 中保留一行 // Lab alignment (DarKDevz/GitHub): always VPS IPv4 + plain :4001 / TLS :4001——注释里直接写着上游仓库名；
3. 后台对账

：面板后端接口定义文件显示标题 DarkSword Admin API 版本 1.1.0，与 GitHub 仓库 admin/main.py 开头的三个值逐字相同；前端技术栈（Vite 6 / Vue 3.5 / Element Plus / ECharts / Pinia）也与仓库 package.json 声明吻合；
4. 加载路径

：仓库 darksword/payloads.py 直接写着载荷从 htimesnine/DarkSword-RCE、ghh-jb/DarkSword 的 raw 地址拉取，内核利用取自 opa334/darksword-kexploit——三个都是公开仓库。

攻击方的主要工作量在工程化与扩版本，而非漏洞本身。 上游 ueyes 链只覆盖 iOS 18.4 和 18.6，攻击方补上了 18.5 和 18.7；上游对加密货币钱包的覆盖为零（关键词计数：imToken / TokenPocket / TronLink / keystore 解密 / AKS 钥匙串解包 / SOCKS5 隧道均为 0），这些能力全部由攻击方补充。可靠性上也有针对性改动：18.6 上载荷超过 200KB 时 CreateWithCString 会返回带 PAC 的无效数据，攻击方改用 CFMutableString 拼接并增加剥离 PAC 的步骤，同时把 18.6.1 以上的等待窗口从 45 秒延长到 90 秒。

除一个 85 字节占位文件外，没有任何文件与上游完全相同——各文件体积普遍膨胀：18+ 链入口由 689 字节增至 14,616 字节，rce_module.js 由 173,079 增至 454,783 字节。

六、同一套链，多个玩家：对照 GTIG 报告看格局

慢雾报告聚焦的是「泄露后被武器化」的这条线。把 GTIG 3 月的原始报告放在一起看，能更完整地理解 DarkSword 的威胁格局——这部分为本文结合公开信源做的补充梳理：

GTIG 的观察是，自 2025 年 11 月以来，多家商业监控厂商与疑似国家背景的攻击者在各自行动中使用 DarkSword，目标涉及沙特、土耳其、马来西亚与乌克兰，采用水坑攻击（乌克兰政府与新闻站点被植入恶意 iframe）。被点名的玩家包括疑似俄罗斯背景的 UNC6353（同时使用 Coruna）、针对沙特用户的 UNC6748，以及土耳其商业监控厂商 PARS Defense。GTIG 识别出的三类后利用载荷家族为 GHOSTBLADE、GHOSTKNIFE、GHOSTSABER——与本次设施自研的 pe\_worker/pe\_main 是不同的代码线。

慢雾报告援引的六个 CVE，与 The Apple Wiki 等公开整理对应（本文按公开资料补充编号与修复版本，供审计比对）：

• CVE-2025-31277（WebContent R/W，18.6 修复）
• CVE-2025-43529（JavaScriptCore GC，18.7.3 / 26.2 修复）
• CVE-2026-20700（dyld PAC 绕过，26.3 修复）
• CVE-2025-14174（ANGLE GPU 越界，18.7.3 / 26.2 修复）
• CVE-2025-43510（XNU CoW，18.7.2 / 26.1 修复）
• CVE-2025-43520（XNU VFS 竞争，18.7.2 / 26.1 修复）

同一时期，socket.dev 还披露了 13 个恶意 Packagist 主题使用与 DarkSword 重叠的 CVE，通过 WebKit 到内核的利用链窃取设备数据与钱包助记词——公开漏洞组件的「货架化」，正在让不同背景的攻击者共享同一套攻击底座。

七、防护建议

慢雾给出的建议可以直接执行：

1. 保持 iOS 更新到官方新版本

，不要长期停留在旧版本上（26.3 以上或 18.7.3 以上不在 DarkSword 原链影响范围）；
2. 不要访问来历不明的链接

——短信、私信中的短链风险高，Safari 打开即可能触发利用链，无需额外交互；
3. 若设备曾在可疑落地页停留，按凭据泄露处置

：在一台未访问过该页面的设备上新建钱包、生成新助记词并转移资产，旧助记词与私钥视为已泄露、不再复用；同时排查各链账户的异常转账与授权记录，撤销不再使用的授权，保留 Safari 历史、崩溃记录与异常交易记录。

对企业的补充：面板与载荷共用同一批公开指纹（后台标题、技术栈、文件名），这意味着基于 IOC 的检测比利用链本身更容易生效——域名按日轮换，但载荷文件哈希与管理后台特征相对稳定。

八、独立核实与边界说明

已核实为真（报告发布后由本文复核）：

• 慢雾报告原始出处：微信公众号《威胁情报｜DarkSword 木马后台及 iOS 攻击链分析》与 Medium 英文版《Threat Intelligence Analysis of the DarkSword Trojan Backend and iOS Attack Chain》为同一分析的中英文版，X 推文为其要点版；
• GTIG 报告《The Proliferation of DarkSword》在 cloud.google.com 官方博客真实存在；
• 报告点名的 9 个 GitHub 仓库经 GitHub API 逐一复核存在（截至 2026-10-20）：opa334/darksword-kexploit 1,543★、htimesnine/DarkSword-RCE 1,019★、khanhduytran0/coruna 722★、DarKDevz/DarKSward 149★（已被作者归档为只读）、adoemwanmei/DarkSword-PROV2 31★ 等，均公开可访问；
• CVE-2026-43818、CVE-2026-64766 均可在 NVD / MITRE 查到记录（均为整数溢出类，CISA-ADP 分别评 8.8 与 7.8）。

属于慢雾单方口径、暂无独立佐证：

• 面板内的访问量、设备数、窃取记录等数据来自其对现网面板的取证，本文无法独立复核；
• 「利用成功 10 次 / 数据外传 9 次」为面板漏斗读数，非执法口径；
• CVE-2026-43818 在载荷库中的 11 个 HEIF 入口文件「尚未真机验证」为慢雾标注，本文未发现其在野利用报告。

参考来源

1. 慢雾科技，《威胁情报｜DarkSword 木马后台及 iOS 攻击链分析》（2026-10-19）— https://mp.weixin.qq.com/s?\_\_biz=MzU4ODQ3NTM2OA==&mid=2247506358&idx=1&sn=bbdbdb8f7471c9dce51639c4b0c3020a
2. 慢雾 Medium 英文版，《Threat Intelligence Analysis of the DarkSword Trojan Backend and iOS Attack Chain》— https://slowmist.medium.com/threat-intelligence-analysis-of-the-darksword-trojan-backend-and-ios-attack-chain-397ecf499fa8
3. 慢雾 X 账号发布帖（2026-10-19）— https://x.com/SlowMist\_Team/status/2112149356346515491
4. Google Threat Intelligence Group，《The Proliferation of DarkSword: iOS Exploit Chain Adopted by Multiple Threat Actors》（2026-03-18）— https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain
5. NVD，CVE-2026-43818 — https://nvd.nist.gov/vuln/detail/CVE-2026-43818
6. NVD，CVE-2026-64766 — https://nvd.nist.gov/vuln/detail/CVE-2026-64766
7. 慢雾安全团队，《威胁情报｜iOS Safari DarkSword 窃取钱包资产》（2026-09-04）— https://mp.weixin.qq.com/s/M2HZw8dIcnqfNY4FOM5eng
8. The Latest Crypto News，《DarkSword malware targets iOS and crypto wallets》（对慢雾 X 帖的英文转述）— https://thelatestcryptonews.com/news/darksword-malware-targets-ios-and-crypto-wallets
9. The Apple Wiki，DarkSword 词条（CVE 与修复版本公开整理）— https://theapplewiki.com/wiki/DarkSword
10. socket.dev，《恶意 Packagist 主题使用 WebKit 到内核的利用链》— https://socket.dev/blog/packagist-themes-ios-spyware

配图说明：题图以外的面板截图、诱饵站页面、九阶段界面、GitHub 仓库搜索结果等图片均引自慢雾报告原文（微信公众号版）；fig\_timeline / fig\_pipeline / fig\_windows / fig\_funnel 为本文据报告内容自制的中文示意图。面板截图中受害者设备标识与 IP 已按慢雾原文做遮蔽处理。

END

公众号内容都来自国外等平台- 搜索的内容通过结合编写 -

公众号 | AnQuan7 (Ots安全)