Ataques a iPhone dirigidos a criptomonedas, más de 1500 sitios falsos relacionados = SlowMist

Puntos clave de este artículo

• Se han confirmado más de 1,500 sitios de phishing relacionados
• iOS 26.3 ya ha sido corregido, iOS 18 se actualiza a 18.7.7

Más de 1,500 sitios falsos relacionados con DarkSword

La empresa de seguridad blockchain SlowMist reveló el 24 de octubre que ha confirmado más de 1,500 sitios de phishing relacionados con la herramienta de ataque "DarkSword", que explota vulnerabilidades en iOS. Según el análisis de su sistema de monitoreo de amenazas "MistEye", estos sitios se hacen pasar por tiendas de comercio electrónico, grandes intercambios, billeteras de criptomonedas y servicios de juegos para atraer a los usuarios. La empresa instó a los usuarios de iPhone y iPad a actualizar su iOS de inmediato.

DarkSword combina seis vulnerabilidades (defectos de software) que existían en iOS y logra eludir el mecanismo de aislamiento de aplicaciones (sandbox) para robar información dentro del dispositivo. Su objetivo son las credenciales de autenticación del llavero (función de almacenamiento de contraseñas), las claves secretas de las billeteras almacenadas en el dispositivo y los datos de notas. El ataque comienza simplemente al abrir una página manipulada en Safari. El grupo de inteligencia de amenazas de Google (GTIG) y las empresas de seguridad iVerify y Lookout publicaron esto en marzo, y posteriormente el código se filtró en Internet.

10 intrusiones exitosas en servidores de ataque

SlowMist también publicó un informe el 19 de octubre analizando un servidor de ataque en funcionamiento. En el panel de administración se registraron 20,187 visitas a páginas y 1,187 intentos de intrusión en 30 días, de los cuales 9 de los 10 intentos exitosos habían avanzado hasta la extracción de datos. Se establece que el ataque es efectivo en iOS 18.6 a 18.7.2 y en iOS 26.0 a 26.1.

Otras empresas de seguridad también han informado sobre nuevos métodos. iVerify anunció el 8 de octubre un subtipo llamado "P7 DarkSword" encontrado en el iPhone de un empleado de una institución financiera. Censys de EE. UU. investigó los servidores de ataque y confirmó la capacidad de buscar frases semilla (secuencias de palabras para restaurar billeteras) almacenadas en fotos y notas. Según Malwarebytes, en septiembre también se encontraron sitios falsos que simulaban la preventa de nuevos iPhones.

Precauciones sobre actualizaciones de iOS y almacenamiento en notas

Apple ha corregido todas las vulnerabilidades que DarkSword explotó hasta iOS 26.3. Para los dispositivos que continúan usando iOS 18, también se amplió la distribución de iOS 18.7.7 el 1 de abril. La actualización se puede realizar desde la aplicación de configuración en "General" y luego en "Actualización de software". SlowMist pidió a los usuarios que no guarden credenciales de billetera o frases semilla en notas y que estén atentos a aplicaciones sospechosas. Si han abierto páginas sospechosas en dispositivos no actualizados, se les recomienda crear una nueva billetera en un dispositivo diferente que no haya abierto esa página y transferir sus activos.