Два независимых отряда исследователей кибербезопасности — iVerify и аналитики Censys — обнаружили шпионское программное обеспечение для iPhone, заточенное конкретно под криптовалютные кошельки. Саму программу назвали P7 DarkSword, а модуль, который вытаскивает содержимое кошельков, — Coruna.
iVerify нашла заражение в августе на телефоне сотрудника финансовой организации, а раскрыла подробности 8 октября. Censys в те же дни наткнулась на открытый сервер атакующих: на нём лежали 11 настоящих seed-фраз жертв, 179 папок с данными украденных устройств и 75 учётных записей операторов. Это больше похоже на коммерческую платформу с партнёрской программой, чем на разовую вылазку одного хакера.
Схема работает в два шага. Сначала жертву нужно заразить — через фишинговую ссылку или вредоносную рекламу, использующую баги в WebKit и JavaScriptCore. Это позволяет вырваться из песочницы Safari, получить доступ к ядру iOS и внедрить модуль кражи прямо в установленные на телефоне приложения-кошельки.
Censys насчитала 18 модулей под разные кошельки — среди них MetaMask, Trust Wallet, Coinbase, Phantom, Exodus, imToken, Bitpie и BitKeep. Программа ищет в заметках и фотографиях строки, похожие на BIP39-мнемонику для восстановления кошелька, и параллельно вытаскивает пароли из Keychain — встроенного хранилища Apple. Связь с серверами атакующих происходит каждые 15 секунд.
Прежние версии DarkSword связывали с коммерческими шпионскими вендорами и предположительно государственными заказчиками: жертвами были журналисты и активисты в Саудовской Аравии, Турции, Малайзии и Украине. Разворот в сторону целевой кражи криптовалюты — новый сюжет: инструменты, заточенные под слежку за людьми, стали монетизировать прямую кражу денег.
Кто стоит за веткой P7, исследователи не называют. Инфраструктура связана с хостингом Tencent и серверами в Шэньяне, но это не равно формальному обвинению Китая — атрибуция остаётся открытым вопросом. Подтверждённых данных об общем числе жертв или сумме украденного пока нет: известно лишь содержимое одного найденного сервера. Обновление до iOS 18.7.7 и новее закрывает прежние уязвимости в цепочке атаки; если обновить телефон сразу нельзя, Apple советует включить режим Lockdown.
