Ataques a iPhone dirigidos a criptomonedas, más de 1500 sitios falsos relacionados = SlowMist

Puntos clave de este artículo

• Se han identificado más de 1500 sitios de phishing relacionados
• La versión iOS 26.3 ya está corregida, iOS 18 se actualiza a 18.7.7

Más de 1500 sitios falsos relacionados con DarkSword

La empresa de seguridad blockchain SlowMist reveló el 24 de octubre que ha identificado más de 1500 sitios de phishing relacionados con la herramienta de ataque "DarkSword", que explota vulnerabilidades en iOS. Según el análisis de su sistema de monitoreo de amenazas "MistEye", estos sitios se hacen pasar por tiendas de comercio electrónico, grandes intercambios, billeteras de criptomonedas y servicios de juegos para atraer a los usuarios. La empresa instó a los usuarios de iPhone y iPad a actualizar su iOS de inmediato.

DarkSword combina seis vulnerabilidades (defectos de software) que existían en iOS y elude el mecanismo de aislamiento de aplicaciones (sandbox) para robar información dentro del dispositivo. Los objetivos son las credenciales de autenticación del llavero (función de almacenamiento de contraseñas), las claves secretas de las billeteras almacenadas en el dispositivo y los datos de notas. El ataque comienza simplemente al abrir una página manipulada en Safari. El grupo de inteligencia de amenazas de Google (GTIG) y las empresas de seguridad iVerify y Lookout publicaron información sobre esto en marzo, y posteriormente el código se filtró en Internet.

10 intrusiones exitosas en el servidor de ataque

SlowMist también publicó un informe el 19 de octubre analizando un servidor de ataque en funcionamiento. En el panel de administración se registraron 20,187 vistas de páginas y 1,187 intentos de intrusión en 30 días, de los cuales 9 de los 10 intentos exitosos habían avanzado hasta la extracción de datos. Los ataques son efectivos en iOS 18.6 a 18.7.2 y en iOS 26.0 a 26.1.

Otras empresas de seguridad también han informado sobre nuevos métodos. iVerify anunció el 8 de octubre un subtipo llamado "P7 DarkSword" encontrado en el iPhone de un empleado de una institución financiera. Censys, una empresa estadounidense, investigó los servidores de ataque y confirmó la capacidad de buscar frases semilla (secuencias de palabras para restaurar billeteras) almacenadas en fotos y notas. Según Malwarebytes, en septiembre también se encontraron sitios falsos que se hacían pasar por la preventa del nuevo iPhone.

Precauciones sobre actualizaciones de iOS y almacenamiento de notas

Apple ha corregido todas las vulnerabilidades que DarkSword explotó hasta iOS 26.3. También ha ampliado la distribución de iOS 18.7.7 para dispositivos que continúan usando iOS 18 desde el 1 de abril. La actualización se puede realizar desde la aplicación de configuración en "General" y luego en "Actualización de software". SlowMist pidió a los usuarios que no almacenen las credenciales de sus billeteras o frases semilla en notas y que tengan cuidado con aplicaciones sospechosas. Si han abierto páginas sospechosas en dispositivos anteriores a la actualización, se les aconseja crear una nueva billetera en un dispositivo diferente que no haya abierto esa página y transferir sus activos.