🛡 VULNERABILIDADES 🛡

El kit de explotación P7 DarkSword para iOS añade robo de datos de billeteras criptográficas y comandos remotos.

⏰12 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

El kit de explotación P7 DarkSword para iOS añade robo de datos de billeteras criptográficas y comandos remotos.

⟫ 11/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

Los investigadores en ciberseguridad han revelado detalles sobre una variante previamente desconocida del kit de explotación para iOS conocido como DarkSword, denominada P7 DarkSword. Según un informe publicado el jueves por iVerify, esta nueva variante presenta un tamaño reducido en el dispositivo, incorpora el robo de claves de la cadena de llaves del sistema y carteras criptográficas, y establece una comunicación bidireccional con la infraestructura del atacante.

El nombre "P7" hace referencia al uso del prefijo variable "p7_" por parte del actor de amenazas en las modificaciones realizadas al código original de DarkSword. Este kit de explotación fue documentado públicamente por primera vez en marzo de 2026 por el Grupo de Inteligencia de Amenazas de Google (GTIG), iVerify y Lookout, quienes detallaron su capacidad para atacar iPhones que operan con versiones de iOS que van desde la 18.4 hasta la 18.7. Se detectó la presencia de este kit en el entorno real en noviembre de 2025.

El diseño del kit permite encadenar múltiples vulnerabilidades de iOS para escapar del entorno restringido del navegador, elevar privilegios a nivel de kernel e inyectar el payload principal en SpringBoard, el proceso de iOS encargado de gestionar el lanzamiento de aplicaciones y la pantalla de inicio. Se estima que esta cadena de explotación es un producto comercial que, de alguna manera, ha llegado a un mercado de segunda mano, desde donde ha sido adquirido por operadores motivados económicamente y otros actores de amenazas desde finales de 2025.

Este kit de explotación ha sido utilizado en ataques dirigidos contra Arabia Saudita, Turquía, Malasia y Ucrania por múltiples actores de amenazas, incluido un proveedor turco de vigilancia comercial llamado PARS Defense, que utilizó un sitio web falso con temática de Snapchat, así como un actor alineado con Rusia conocido como Star Blizzard (también llamado COLDRIVER), que empleó señuelos de invitaciones fraudulentas.

En agosto de 2026, la plataforma de gestión de superficie de ataque Censys detalló una campaña llevada a cabo por un actor de amenazas de habla china desconocido, que implicó el uso del kit de explotación para atacar dispositivos Apple iOS, además de presentar una página de inicio de sesión falsa de Apple ID.

En el último mes, iVerify comentó que había observado "múltiples intentos fallidos, probablemente asistidos por modelos de lenguaje, para actualizar el marco y soportar iOS 26.x", impulsados por la filtración del kit de explotación poco después de su divulgación pública. Estas variantes, según la empresa de seguridad móvil, se centran en la estabilidad, el sigilo y la calidad de los datos robados.

iVerify también informó a The Hacker News que en raras ocasiones había visto que DarkSword y Coruna se combinaran, denominando esta implementación conjunta DarkCoruna. "Creemos que estos atacantes obtuvieron el código fuente del kit de explotación Coruna y lo modificaron", declaró iVerify. "No se observaron signos de parches binarios implicados y se realizaron grandes cambios en el código que se compilaron en nuevos binarios."

"Muchos de los variantes combinadas que vemos son intentos fallidos de inteligencia artificial. Atacantes no sofisticados están desplegando versiones rotas o no funcionales de Coruna y DarkSword de GitHub. Sin embargo, no podemos descartar la posibilidad de que atacantes que no logran obtener el código fuente de Coruna puedan realizar ingeniería inversa y volver a implementar Coruna con la ayuda de modelos de lenguaje, aunque no tenemos evidencia de que esto esté ocurriendo aún."

P7 DarkSword representa una evolución en estos aspectos al eliminar el registro de depuración a través de solicitudes HTTP y syslog, utilizando el almacenamiento local del navegador para prevenir una nueva explotación. A diferencia de las versiones anteriores que copiaban y exfiltraban la base de datos de la cadena de llaves para ser procesada en la infraestructura del atacante, la nueva versión extrae los datos de la cadena de llaves en formato JSON directamente en el teléfono antes de su exfiltración.

"La implantación se inyecta en el proceso de SpringBoard, que gestiona toda la comunicación con la infraestructura del atacante", afirmó iVerify.

La última iteración está equipada para consultar comandos cada 15 segundos, enviar un mensaje de "latido", enviar una lista de aplicaciones instaladas y transmitir información de la cadena de llaves de iCloud, así como datos de aplicaciones como Notas de Apple, Fotos y carteras de criptomonedas.

La respuesta a la consulta periódica de tareas contiene comandos que deben ejecutarse en el teléfono de la víctima. Esto incluye ejecutar comandos del sistema operativo como ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat y whoami, entre otros. También se contempla el comando de descarga, que permite leer un archivo del dispositivo y subirlo al servidor de comando y control (C2), así como comandos para enumerar contenedores de aplicaciones, ejecutar JavaScript en el entorno de implantación y escanear el sistema de archivos.

Un aspecto notable es que el mismo exploit P7 DarkSword ha sido observado distribuyéndose a través de un dominio asociado con una startup checa de análisis de comercio electrónico que ya no está en funcionamiento. Según Report URI, actores de amenazas desconocidos re-registraron el dominio "ecomtrack[.]io" el 15 de septiembre de 2026, tras su expiración, para infectar sitios que aún incorporan etiquetas de seguimiento que hacen referencia al producto de análisis con JavaScript malicioso que entrega el malware.

"Con la etiqueta aún presente en las tiendas en línea, ahora secuestra a los visitantes, los vende a redes publicitarias y, en un caso, entrega una completa cadena de explotación para iOS y un implante de spyware", afirmó el investigador de seguridad Scott Helm.

El nuevo JavaScript incorpora diversas medidas evasivas para detectar rastreadores, navegadores sin cabeza y bots, utilizando tácticas de ocultación para ofrecer contenido vacío y así ocultar sus huellas. También recoge información sobre el dispositivo y el navegador, enviando los detalles a un servidor externo, tras lo cual el visitante es redirigido a un sitio de estafa o a un casino en línea.

Una de las rutas lleva a una plataforma de trading de criptomonedas falsa, conocida como "chainmate[.]top", que sirve de manera sigilosa a la cadena de exploits para iOS denominada DarkSword. El implante que se entrega a través de DarkSword tiene como objetivo capturar una amplia gama de datos del dispositivo afectado, incluyendo mensajes SMS, contactos, historial de llamadas, correos de voz, fotos, datos de Apple Health, historial de ubicación, notificaciones, contraseñas de redes Wi-Fi guardadas y archivos correspondientes a más de 25 aplicaciones de billetera.

Según el investigador Helme, "el código recuperado está configurado para contactar con mertio.cc cada 30 segundos y manejar comandos tales como exec, download, photos y spy". Además, se ha determinado que la versión recuperada del software es más reciente (v24) y se comunica con una infraestructura diferente, lo que le permite dirigirse a un número considerablemente mayor de billeteras de criptomonedas.

Este descubrimiento se produce en un contexto donde Censys ha identificado directorios abiertos en cinco servidores que contienen componentes relacionados tanto con DarkSword como con Coruna, un kit de exploits para iOS que fue descubierto este año y que se ha utilizado en ataques dirigidos a modelos de iPhone que operan con versiones de iOS entre 13.0 y 17.2.1. Censys señala que "Coruna es el kit de carga útil complementario que distribuye el mismo ecosistema". Las fases de este kit se ejecutan dentro de la sesión del navegador de la víctima, una vez que las etapas de explotación de DarkSword han sido efectivas, y sus módulos de recolección de billeteras roban frases de recuperación de criptomonedas, saldos y datos de almacenamiento de llaves de aplicaciones de iOS. Los operadores utilizan DarkSword y Coruna conjuntamente contra su propia infraestructura de Comando y Control (C2).

Los cinco servidores identificados son los siguientes:

El primero, ubicado en 43.134.165[.]205, sirve como DS-Fusion v1.0 (también conocido como DarkSword Fusion), un paquete combinado que incluye tanto DarkSword como Coruna en un solo conjunto. El segundo, en 166.88.95[.]90, actúa como un servidor C2 del implante y ha registrado dos dispositivos iOS reales en China (183.154.173[.]30 y 182.239.114[.]223) que consultaban una página de beacon cada tres segundos durante varias horas el 6 de septiembre de 2026. El tercero, en 23.148.212[.]237, funciona como un espacio de análisis que muestra al operador desarrollando cadenas de explotación para iOS 26 (como por ejemplo para CVE-2026-31001), que no están abarcadas ni por DarkSword ni por Coruna. Por su parte, 47.102.192[.]23 sirve como un host de preparación para el kit Coruna, y finalmente, 156.239.230[.]120 expone toda la plataforma C2 y ha sido observada consultando un dispositivo el 15 de septiembre de 2026.

Un análisis del registro de exploits del servidor de producción ha revelado que el kit de exploits DarkSword comprende dos identificadores CVE que no habían sido documentados previamente. El primero es CVE-2025-24201, una vulnerabilidad de escritura fuera de límites en el motor WebKit que podría permitir a un atacante escapar del sandbox de contenido web (corregido en iOS 18.3.2 y iPadOS 18.3.2). El segundo es CVE-2025-31200, una vulnerabilidad de corrupción de memoria en el marco Core Audio que permite la ejecución de código al procesar un flujo de audio en un archivo multimedia malicioso (corregido en iOS 18.4.1 y iPadOS 18.4.1).

Se sospecha que el clúster de directorios abiertos y la plataforma en 156.239.230[.]120 son operados por un actor de amenazas de habla china con el objetivo de llevar a cabo robos de billeteras de criptomonedas. Sin embargo, la identidad exacta de los responsables sigue siendo desconocida. "La plataforma opera un servicio de explotación como servicio dirigido por hablantes de chino", comenta Aidan Holland, investigador de Censys. "El panel de administración expone un modelo de agente/revendedor, y una copia del servidor de producción recuperó 11 frases de recuperación de víctimas, 179 directorios de botín de dispositivos y una lista de 75 cuentas en el plano de control".

Censys también ha detectado a un operador basado en China que ejecuta el mismo kit en el mundo real contra su propio servidor C2 en "66ds[.]lol", incluyendo un nuevo objetivo de billetera de criptomonedas, BitKeep, que no se encuentra presente en el conjunto de directorios abiertos. Estos hallazgos destacan una vez más la proliferación del kit entre actores motivados financieramente. "El operador detrás de esto está alojado en Tencent y Shenyang, vinculado al operador a través de una autoridad de certificación única y autofirmada", concluye Censys.

(La historia fue actualizada tras su publicación para incluir información adicional de iVerify y Report URI).

◢ VULNERABILIDADES ◣

P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands

⟫ 11/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Cybersecurity researchers have disclosed details of a previously unseen variant of the DarkSword iOS exploit kit calledP7 DarkSword. "Compared with the variants we usually observe, P7 reduces its on-device footprint, adds on-device keychain and crypto-wallet theft, and adds two way C2 communication with the attacker's infrastructure," iVerifysaidin a new report published Thursday. The name "P7" is a nod to the threat actor's use of the "p7_" variable prefix in changes made to the original DarkSword code. DarkSword wasfirst publicly documentedearlier this March by Google Threat Intelligence Group (GTIG), iVerify, and Lookout, detailing its ability to target iPhones running iOS versions between iOS 18.4 and 18.7. The kit was detected in the wild in November 2025. The toolkit is engineered to chain multiple iOS vulnerabilities to escape the browser sandbox, escalate to kernel privileges, and inject the main payload into SpringBoard, the iOS process that handles app launches and the home screen. The exploit chain is assessed to be a commercial product that somehow landed in a second-hand market, from where it was acquired by financially motivated operators and other threat actors since late 2025. The exploit kit has been put to use in attacks targeting Saudi Arabia, Turkey, Malaysia, and Ukraine by multiple threat actors, including a Turkish commercial surveillance vendor named PARS Defense via a fake Snapchat-themed website and a Russia-aligned threat actor calledStar Blizzard(aka COLDRIVER) using fake invitation lures. In August 2026, attack surface management platform Censysdetaileda campaign mounted by an unknown Chinese-speaking threat actor that involved targeting Apple iOS devices with the exploit kit, in addition to serving an Apple ID decoy sign-in page. As recently as last month, iVerifysaidit observed "multiple unsuccessful, likely LLM-assisted attempts to update the framework to support iOS 26.x," fueled by the leak of the exploit kit shortly after its public disclosure. These variants, the mobile security company added, are focused on stability, stealth, and quality of stolen data. iVerify told The Hacker News that it has also seen DarkSword and Coruna bundled together on rare occasions, calling the combined deployment DarkCoruna. "We believe these attackers obtained the source for the Coruna exploit kit and modified it," iVerify said. "There were no signs of binary patching involved and large code changes were done and compiled into new binaries." "Many bundled variants we see are non-working AI slop attempts. Non-sophisticated attackers are deploying broken/non-working versions of patched Coruna and DarkSword from GitHub. However, we can't rule out the possibility that attackers unable to obtain the Coruna source code might reverse-engineer and re-implement Coruna with the help of LLM models, we just don't have evidence of this happening yet." P7 DarkSword represents an evolution in these aspects by eliminating debug logging over HTTP requests and syslog and using browser localStorage to prevent re-exploitation. Unlike prior variants that copied and exfiltrated the keychain database to process on the attacker's infrastructure, the new version extracts keychain data into JSON on the phone prior to exfiltration. "The implant is injected into the SpringBoard process, which handles all communication with the attacker's infrastructure," iVerify said. The latest iteration is equipped to poll for commands every 15 seconds, send a "heartbeat" message, send a list of installed applications, and transmit iCloud Keychain information and data from applications like Apple Notes, Photos, and cryptocurrency wallets. The response to the periodic tasking poll contains commands to be executed on the victim's phone. This includes - execute_command, to execute operating system commands like ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat, and whoami, among others download, to read a file from the device and upload it to the C2 server photos, to upload photo files from "/var/mobile/Media/DCIM" apps, to enumerate app containers and extract bundle IDs exec, to execute arbitrary JavaScript directly inside the implant runtime file_upload, to recursively scan one or more paths and upload matching files basic_info, to send device metadata to the C2 server disk_scan, to recursively scan the filesystem starting from "/," record metadata for files, directories, and symlinks, and upload the information in the form of a report ios_app_data, to find app sandbox and app-group containers for requested bundle IDs and upload selected app files wallet_scan, to scan for installed wallet apps wallet_extract, to extract wallet-related data for imToken wallet app memo_scan, to upload Apple Notes databases photo_scan, to upload photos from Apple Photos sleep, to modify the beacon polling interval exit, to halt the beacon loop and stop the implant Interestingly, the same P7 DarkSword exploit has been observed being distributed via a domain associated with a now-defunct Czech e-commerce analytics startup. According to Report URI, unknown threat actors have re-registered the domain ("ecomtrack[.]io") on September 15, 2026, following its expiry, to infect sites still incorporating tracking tags referencing the analytics product with malicious JavaScript that delivers the malware. "With the tag still sitting on online stores, it now hijacks visitors, sells them on to ad networks, and in one case, it delivers a full iOS exploit chain and spyware implant," security researcher Scott Helmesaid. The new JavaScript incorporates various evasive measures to detect crawlers, headless browsers, and bots, using cloaking tactics to feed them empty content to hide its tracks. It also collects information about the device and browser and sends the details to an external server, after which the visitor is redirected to a scam site or an online casino. One route leads to a bogus cryptocurrency trading platform ("chainmate[.]top") that stealthily serves the DarkSword iOS exploit chain. The implant delivered via the DarkSword is designed to capture SMS, contacts, call history, voicemail, photos, Apple Health data, location history, notifications, saved Wi-Fi passwords, and files belonging to more than 25 wallet apps. "The recovered code is configured to contact mertio.cc every 30 seconds and handle commands including exec, download, photos and spy," Helme said. "The build we recovered appears to be newer (v24), and it reports to different infrastructure and targets far more crypto wallets." The disclosure comes as Censys said it identified open directories on five hosts carrying components related to DarkSword andCoruna, another iOS exploit kit uncovered this year as weaponized in attacks aimed at iPhone models running iOS versions between 13.0 and 17.2.1. "Coruna is the companion payload kit the same ecosystem distributes," Censyssaid. "Its stages run inside the victim's browser session after DarkSword's exploit stages land, and its wallet-harvesting modules steal crypto recovery phrases, balances, and keystore data from iOS apps. Operators run DarkSword and Coruna together against their own C2 infrastructure." The five hosts are listed below - 43.134.165[.]205, which serves DS-Fusion v1.0 (aka DarkSword Fusion), a combined package that includes both DarkSword and Coruna in a single bundle 166.88.95[.]90, which operates as a C2 server of the implant and has recorded two real Chinese iOS devices (183.154.173[.]30 and 182.239.114[.]223) polling a beacon page every three seconds for several hours on September 6, 2026 23.148.212[.]237, which serves as an analysis workspace that shows the operator developing exploit chains for iOS 26 (such as for CVE-2026-31001), which are not covered by DarkSword or Coruna. 47.102.192[.]23, which serves as a staging host for the Coruna kit 156.239.230[.]120, which exposes the entire C2 platform and has been observed polling a device on September 15, 2026 An analysis of the production server's exploit registry has revealed that the DarkSword exploit kit comprises two CVE identifiers not previously documented - CVE-2025-24201, an out-of-bounds write vulnerability in the WebKit engine that could allow an attacker to break out of the Web Content sandbox (Fixed in iOS 18.3.2 and iPadOS 18.3.2) CVE-2025-31200, a memory corruption vulnerability in the Core Audio framework that allows code execution when processing an audio stream in a maliciously crafted media file (Fixed in iOS 18.4.1 and iPadOS 18.4.1) It's suspected that the open-directory cluster and the 156.239.230[.]120 platform are run by a Chinese-speaking threat actor with an aim to conduct cryptocurrency wallet theft. That said, exactly who is behind is unknown. "The platform runs a Chinese-speaking exploitation-as-a-service operation," Censys researcher Aidan Holland said. "The admin panel exposes an agent/reseller model, and a copy of the production server recovered 11 victim recovery phrases, 179 device loot directories, and a 75-account control-plane roster." Censys said it also detected a separate China-based operator running the same kit in the wild against its own C2 server at "66ds[.]lol," while including a new cryptocurrency wallet target (BitKeep) not present in the open-directory set. The findings once again highlight the proliferation of the kit among financially motivated actors. "The operator behind it sits on Tencent and Shenyang hosting, tied to the operator through a unique self-signed certificate authority," Censys said. (The story was updated after publication to include additional insights from iVerify and Report URI.)

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD