Ataques a iPhone dirigidos a criptomonedas, más de 1500 sitios falsos relacionados = SlowMist

Puntos clave del artículo

• Se han confirmado más de 1,500 sitios de phishing relacionados
• iOS 26.3 ya ha sido corregido, iOS 18 se actualiza a 18.7.7

Más de 1,500 sitios falsos relacionados con DarkSword

La empresa de seguridad blockchain SlowMist reveló el 24 de octubre que ha confirmado más de 1,500 sitios de phishing relacionados con la herramienta de ataque "DarkSword", que explota vulnerabilidades en iOS. Según el análisis de su sistema de monitoreo de amenazas "MistEye", estos sitios se hacen pasar por tiendas de comercio electrónico, grandes intercambios, billeteras de criptomonedas y servicios de juegos para atraer a los usuarios. La empresa ha instado a los usuarios de iPhone y iPad a actualizar su iOS de inmediato.

DarkSword combina seis vulnerabilidades (defectos de software) que existían en iOS y logra eludir el mecanismo de aislamiento de aplicaciones (sandbox) para robar información dentro del dispositivo. Los objetivos son las credenciales de autenticación del llavero (función de almacenamiento de contraseñas), las claves secretas de las billeteras almacenadas en el dispositivo y los datos de notas. El ataque comienza simplemente al abrir una página manipulada en Safari. El grupo de inteligencia de amenazas de Google (GTIG) y las empresas de seguridad iVerify y Lookout publicaron esto en marzo, y posteriormente el código se filtró en Internet.

10 intrusiones exitosas en servidores de ataque

SlowMist también publicó un informe el 19 de octubre analizando un servidor de ataque en funcionamiento. En el panel de administración se registraron 20,187 visitas a páginas y 1,187 intentos de intrusión en 30 días, de los cuales 9 de los 10 intentos exitosos avanzaron hasta la extracción de datos. Se ha determinado que los ataques son efectivos en iOS 18.6 a 18.7.2 y en iOS 26.0 a 26.1.

Otras empresas de seguridad también han informado sobre nuevos métodos. iVerify anunció el 8 de octubre un subtipo llamado "P7 DarkSword" encontrado en el iPhone de un empleado de una institución financiera. Censys, una empresa estadounidense, investigó los servidores de ataque y confirmó la capacidad de buscar frases semilla (secuencias de palabras para restaurar billeteras) almacenadas en fotos y notas. Según Malwarebytes, en septiembre también se encontraron sitios falsos que se hacían pasar por la venta anticipada del nuevo iPhone.

Precauciones sobre actualizaciones de iOS y almacenamiento de notas

Apple ha corregido todas las vulnerabilidades que DarkSword explotó hasta iOS 26.3. También ha ampliado la distribución de iOS 18.7.7 para dispositivos que continúan usando iOS 18 desde el 1 de abril. Las actualizaciones se pueden realizar desde la aplicación de configuración en "General" y luego en "Actualización de software". SlowMist ha solicitado que no se guarden las credenciales de billetera ni las frases semilla en notas, y ha advertido sobre aplicaciones sospechosas. Si se ha abierto una página sospechosa en un dispositivo anterior a la actualización, se recomienda crear una nueva billetera en un dispositivo diferente que no haya abierto esa página y transferir los activos.