Компания по кибербезопасности iVerify обнаружила новый вариант шпионского ПО, связанного с цепочкой эксплойтов DarkSword для iPhone. Версию под названием P7 DarkSword выявили при анализе телефона сотрудника финансовой организации. Находка вновь привлекла внимание к чувствительным данным, которые хранятся на устройствах Apple.
Речь не о совершенно новой уязвимости iOS, а об обновлённой версии вредоносной программы, которая запускается после взлома устройства с помощью DarkSword. Операторы угрозы улучшили способность вредоносного ПО оставаться незамеченным, красть пароли и ключи от цифровых кошельков, а также получать команды с удалённых серверов.
Чем P7 DarkSword отличается от предыдущих версий
Эволюция от Coruna и первых образцов DarkSword показывает, что после каждого патча Apple злоумышленники дорабатывали свои инструменты. Coruna была нацелена на устройства с версиями iOS от 13 до 17.2.1, а DarkSword — на аппараты с iOS 18.4–18.7. Новая P7 совместима с iOS вплоть до 18.7; предыдущие версии, отслеживавшиеся iVerify, поддерживали устройства лишь до iOS 18.6.
Как вредоносная программа скрывается и какие данные ищет
P7 стремится действовать незаметно. Она сокращает количество создаваемых журналов и ограничивает внедрение кода в процессы. Кроме того, программа использует хранилище браузера, чтобы не эксплуатировать одно и то же устройство снова и снова. В совокупности это затрудняет обнаружение подозрительной активности средствами мониторинга.
Среди данных, которые пытается похитить P7, — пароли и учётные данные из Связки ключей Apple, заметки, фотографии, список установленных приложений и информация, связанная с криптовалютными кошельками. В отличие от некоторых других вариантов, которые копировали базу данных целиком, P7 может извлекать сведения из Связки ключей непосредственно на iPhone, прежде чем отправить их злоумышленникам.
Вредоносная программа также поддерживает двустороннюю связь с командным сервером. По умолчанию она проверяет наличие новых указаний каждые 15 секунд, но интервал можно изменить удалённо. Через это соединение операторы могут запрашивать определённые файлы, загружать фотографии, составлять список приложений, получать доступ к базам данных Apple Notes, собирать сведения из контейнеров приложений и сканировать файловую систему.
Распространение: вредоносная реклама и взломанные сайты
Угроза больше не ограничивается адресными атаками. По результатам анализов, группа, стоящая за P7, распространяет вредоносную программу через вредоносную рекламу и кампании типа watering hole: злоумышленники взламывают легитимные сайты или ресурсы, которыми пользуется определённая группа людей. Поэтому пользователь может столкнуться со шпионским ПО для iPhone, даже если его не выбирали целью лично.
Предыдущие кампании DarkSword наблюдали в Турции, Малайзии, Саудовской Аравии и Украине. Предполагается, что в них могли участвовать государственные структуры и коммерческие поставщики средств слежки. Публичных сведений о конкретной кампании в Испании или других странах Европы нет. Однако сохранять осторожность стоит всем: заражённый сайт может представлять угрозу, если устройство уязвимо для эксплуатации.
Как снизить риск
Специалисты рекомендуют поддерживать систему в актуальном состоянии. Apple выпустила обновления для защиты iPhone от DarkSword, включая iOS 15.8.7, iOS 16.7.15 и iOS 18.7.7. Версию iOS 18.7.7 также предоставили устройствам, на которые можно установить iOS 26, чтобы защитить пользователей, не перешедших на эту версию.
- Установите последнюю версию iOS и доступные для вашей модели исправления безопасности.
- Не переходите по подозрительным ссылкам, объявлениям и сайтам, даже если они копируют известные сервисы.
- Не вводите пароли, банковские данные и сид-фразы криптокошельков на ненадёжных сайтах.
- Следите за необычными изменениями в аккаунтах и приложениях. При подозрении на взлом обратитесь в службу поддержки Apple или к специалисту.
Помимо обновлений, полезны и базовые меры предосторожности: с осторожностью относитесь к окнам, запрашивающим необычные разрешения, не используйте повторно важные пароли и храните отдельную резервную копию.
Последствия и нерешённые вопросы
По данным iVerify, P7 — не новая уязвимость iOS, а версия вредоносной программы, которая появляется после взлома устройства с помощью DarkSword. Компания не уточнила, какая именно версия iOS была установлена на проанализированном iPhone, поэтому степень риска может различаться для разных устройств.
Операторы, по-видимому, значительно усовершенствовали скрытность, стабильность и функции кражи данных. Из-за уменьшения следов некоторые индикаторы компрометации, по которым обнаруживали предыдущие версии DarkSword, могли устареть. Это усложняет работу специалистов по безопасности.
P7 DarkSword показывает, что атаки на iPhone становятся всё изощрённее и не всегда направлены на конкретного человека. Их мишенью становятся особенно ценные данные — от ключей Связки ключей Apple до криптовалютных кошельков. Пока основные меры защиты — своевременно обновлять систему, осторожно относиться к рекламе и взломанным сайтам и помнить, что хранение чувствительных данных на телефоне требует постоянной защиты.