SlowMist هشدار می‌دهد که Darksword ممکن است کیف پول‌ها را در iOS 26.5 هدف قرار دهد

SlowMist هشدار داده است که مهاجمان ممکن است زنجیره بهره‌برداری Darksword را برای نفوذ به دستگاه‌های دارای iOS 26.5 و استخراج کلیدهای خصوصی از کیف پول‌های ارز دیجیتال خودنگهدار تطبیق داده باشند.

خلاصه

• حملات Darksword می‌توانند زمانی آغاز شوند که یک کاربر آیفون یک لینک مخرب را در سافاری باز کند.
• SlowMist می‌گوید مهاجمان ممکن است زنجیره بهره‌برداری را به iOS 26.5 تطبیق داده باشند.
• گوگل پیش‌تر فعالیت Darksword را در برابر iOS 18.4 تا iOS 18.7 تأیید کرده بود.
• سه سرمایه‌گذار آمریکایی به‌طور جداگانه ادعا می‌کنند که برنامه‌های کیف پول جعلی باعث ضرر 1.835 میلیون دلاری در بیت‌کوین شده‌اند.

مدیر ارشد امنیت اطلاعات SlowMist، 23pds، گفت که مهاجمان از Darksword برای دور زدن کنترل‌های امنیتی اپل، دسترسی گسترده به آیفون‌های آسیب‌دیده و جمع‌آوری داده‌ها از کیف پول‌های ارز دیجیتال نصب‌شده محلی استفاده می‌کنند.

معرض iOS 26.5 گزارش‌شده هنوز به‌طور مستقل توسط اپل یا گوگل تأیید نشده است. تحقیقات منتشرشده گروه تهدید اطلاعات گوگل حمایت از نسخه‌های iOS 18.4 تا 18.7 را مستند کرده است، در حالی که 23pds گفت که مهاجمان از آن زمان ابزار را برای کار در برابر سیستم‌عامل جدیدتر تغییر داده‌اند.

Darksword ممکن است به دستگاه‌های iOS 26.5 برسد

گروه تهدید اطلاعات گوگل Darksword را به‌عنوان یک زنجیره کامل بهره‌برداری iOS شناسایی کرده است که شش آسیب‌پذیری را ترکیب می‌کند تا دستگاه‌ها را به خطر بیندازد و بارهای مخرب جداگانه‌ای را تحویل دهد. این شرکت فعالیت‌های مرتبط را از حداقل دسامبر 2025 تا مارس 2026 ردیابی کرده است.

به گفته گوگل، چارچوب اصلی از iOS 18.4 تا iOS 18.7 پشتیبانی می‌کرد. یک نقص که علیه دستگاه‌های iOS 18.6 تا 18.7 استفاده شده است، با عنوان CVE-2025-43529، بر JavaScriptCore تأثیر گذاشته است، موتوری که JavaScript را در سافاری پردازش می‌کند. اپل این نقص را در iOS 18.7.3 و iOS 26.2 پس از گزارش گوگل اصلاح کرد.

آخرین ارزیابی SlowMist احتمال تعرض به iOS 26.5 را گسترش می‌دهد، اگرچه ادعای شرکت امنیتی هنوز تأیید رسمی دریافت نکرده است. هیچ تحلیل فنی که در هشدار ذکر شده است، مشخص نکرده است که کدام آسیب‌پذیری یا بهره‌برداری جایگزین می‌تواند به Darksword اجازه دهد تا نسخه جدیدتر را به خطر بیندازد.

به‌طور کلی، مهاجمان از طریق مهندسی اجتماعی نفوذ را آغاز می‌کنند، به گفته 23pds. یک هدف یک لینک از طریق یک شبکه اجتماعی، برنامه پیام‌رسان یا یک کانال ارتباطی دیگر دریافت می‌کند و صفحه را در سافاری باز می‌کند. محتوای وب مخرب سپس سعی می‌کند تا مرورگر و سایر اجزای iOS را بدون نیاز به نصب یک برنامه معمولی به خطر بیندازد.

پس از موفقیت زنجیره، مهاجم ممکن است کنترل سطح ریشه را به دست آورد، به گفته 23pds. چنین دسترسی می‌تواند جداسازی را که معمولاً مانع از خواندن فایل‌ها و اعتبارنامه‌های یک برنامه توسط برنامه دیگر می‌شود، حذف کند و کلیدهای خصوصی و سایر سوابق کیف پول ذخیره‌شده در دستگاه را در معرض خطر قرار دهد.

لینک‌های مخرب سافاری می‌توانند داده‌های کیف پول را افشا کنند

گوگل چندین گروه را پیدا کرده است که از Darksword با بارهای نهایی مختلف استفاده می‌کنند، نه یک قطعه ثابت بدافزار. بسته به کمپین، بارها می‌توانند جزئیات حساب، پیام‌ها، سوابق مرورگر، فایل‌ها، تاریخچه موقعیت، داده‌های Wi-Fi ذخیره‌شده و اطلاعات مرتبط با کیف پول‌های ارز دیجیتال را جمع‌آوری کنند.

شرکت امنیتی عملیات‌های جداگانه‌ای را به قربانیان در عربستان سعودی، ترکیه، مالزی و اوکراین مرتبط کرده است. گوگل برخی از فعالیت‌ها را با ارائه‌دهندگان نظارت تجاری و گروه‌های مشکوک به ارتباط با دولت مرتبط دانسته است، در حالی که محققان همچنین نشانه‌هایی پیدا کرده‌اند که نشان می‌دهد بازیگران مالی‌محور به ابزارهای پیشرفته بهره‌برداری آیفون دسترسی پیدا کرده‌اند.

هیچ تعداد قربانی یا مقدار تأییدشده‌ای از ارز دیجیتال دزدیده‌شده از طریق Darksword در مواد ارائه‌شده توسط SlowMist گنجانده نشده است. هشدار به‌جای آن بر توانایی چارچوب برای دسترسی به اطلاعات کیف پول پس از نفوذ به دستگاهی که آن را ذخیره می‌کند، تمرکز کرده است.

روش تحویل مشابهی در یک تهدید موبایل قبلی ظاهر شد. در مارس، crypto.news یافته‌های گوگل در مورد Coruna، یک کیت بهره‌برداری که شامل 23 آسیب‌پذیری در پنج زنجیره حمله بود، پوشش داد. Coruna به آیفون‌هایی که نسخه‌های iOS 13 تا iOS 17.2.1 را اجرا می‌کردند، هدف قرار می‌داد و می‌توانست فایل‌ها و تصاویر را برای عبارات مانند "عبارت پشتیبان" و "حساب بانکی" جستجو کند.

محققان گوگل گفتند که Coruna دستگاه یک بازدیدکننده را قبل از انتخاب یک آسیب‌پذیری مناسب برای مدل و نسخه نرم‌افزار آیفون شناسایی کرده است. برخی از اپراتورها کیت را در سایت‌های قمار و ارزهای دیجیتال جعلی قرار دادند و اجازه دادند که نفوذ زمانی آغاز شود که هدف صفحه را بارگذاری کرد.

تهدیدات اخیر iOS کلیدهای خصوصی را هدف قرار داده‌اند

Darksword تنها تهدید امنیتی اخیر نیست که شامل داده‌های ارز دیجیتال در دستگاه‌های اپل می‌شود. بایننس در تاریخ ۱۹ سپتامبر به کاربران آیفون و آیپد در مورد کد مخرب موجود در نسخه‌های ۱.۱ و ۱.۲ FomoPeek هشدار داد.

محققان بررسی‌کننده این اپلیکیشن یک چارچوب بهره‌برداری هسته‌ای با هشت روش حمله پیدا کردند و اعلام کردند که پشتیبانی از iOS 12.0 تا 18.7.2 و iOS 26.0 تا 26.1 را شامل می‌شود. ماژول‌های مخرب می‌توانستند از محفظه iOS فرار کنند، داده‌های Keychain را رمزگشایی کنند و به کلیدهای خصوصی، عبارات بازیابی کیف پول، اعتبارنامه‌های حساب و فایل‌های نگهداری شده توسط سایر برنامه‌ها دسترسی پیدا کنند، طبق گزارشی در مورد FomoPeek.

بایننس به هر کسی که نسخه‌های تحت تأثیر را نصب کرده بود توصیه کرد که اپلیکیشن را حذف کند، iOS را به‌روزرسانی کند و از نصب مجدد آن خودداری کند. همچنین به کاربران خودنگهدار گفته شد که یک کیف پول جدید در یک دستگاه تمیز ایجاد کنند و دارایی‌های خود را منتقل کنند، زیرا حذف یک اپلیکیشن مخرب از کیف پول محافظت نمی‌کند اگر کلید خصوصی یا عبارت بازیابی آن قبلاً کپی شده باشد.

Darksword از مسیر متفاوتی استفاده می‌کند زیرا کمپین‌های مستند آن به وب‌سایت‌های مخرب یا آسیب‌دیده وابسته است. با این حال، هر دو مورد شامل تلاش‌هایی برای شکست کنترل‌هایی است که معمولاً از دسترسی نرم‌افزار به سوابق حساس نگهداری شده در جای دیگر در یک آیفون جلوگیری می‌کند.

SlowMist به کاربران توصیه کرد که به‌روزرسانی‌های سیستم‌عامل موبایل را به‌سرعت نصب کنند و از باز کردن لینک‌های ناخواسته ارسال شده توسط غریبه‌ها خودداری کنند. گوگل و اپل همچنین نرم‌افزارهای فعلی را به عنوان یک دفاع مرکزی در نظر گرفته‌اند زیرا اپل شش آسیب‌پذیری مستند شده در زنجیره Darksword اصلی را وصله کرده است.

سرمایه‌گذاران آمریکایی همچنین از اپل به خاطر کیف پول‌های جعلی شکایت کرده‌اند

برای دارندگان ارز دیجیتال آمریکایی، هشدار Darksword پس از یک اختلاف جداگانه در مورد نرم‌افزار کیف پول مخرب توزیع شده از طریق بازار رسمی اپل مطرح می‌شود. سه سرمایه‌گذار یک شکایت فدرال را مطرح کردند و ادعا کردند که برنامه‌های جعلی که خود را به عنوان Sparrow Wallet معرفی می‌کنند در App Store ظاهر شده و حدود ۱.۸۳۵ میلیون دلار خسارت بیت‌کوین ایجاد کرده‌اند، طبق پوشش قبلی دادگاه.

اتهامات شاکیان مربوط به برنامه‌های تقلبی است نه یک آسیب‌پذیری مبتنی بر مرورگر. با این حال، پرونده آنها همچنان بر امنیت سیستم توزیع موبایل اپل و خسارت مالی که می‌تواند زمانی که کاربران به نرم‌افزاری که به عنوان کیف پول ارز دیجیتال معتبر ارائه شده است اعتماد می‌کنند، متمرکز است.

یک برنامه جعلی دیگر که خود را به عنوان Ledger Live معرفی می‌کند، به طور ادعایی حداقل ۹.۵ میلیون دلار از بیش از ۵۰ قربانی بین ۷ آوریل و ۱۳ آوریل دزدیده است. محقق بلاک‌چین ZachXBT وجوه را از کاربران بیت‌کوین، اتریوم، سولانا، ترون و XRP به بیش از ۱۵۰ آدرس واریز KuCoin و یک سرویس میکس ردیابی کرد.

برنامه جعلی Ledger از کاربران خواسته بود که عبارات بازیابی ۲۴ کلمه‌ای خود را در حین آنچه به نظر می‌رسید یک تنظیم استاندارد کیف پول باشد، وارد کنند. اپل بعداً فهرست را حذف کرد، در حالی که یکی از قربانیان گفت که او آن را در حین پیکربندی یک دستگاه Ledger بر روی یک MacBook جدید دانلود کرده است.

برخلاف زنجیره Darksword، برنامه تقلبی Ledger نیازی به شکستن کنترل‌های امنیتی سیستم‌عامل نداشت. کاربران با وارد کردن عبارات بازیابی به نرم‌افزار تقلبی، کیف پول‌های خود را در معرض خطر قرار دادند و کنترل هر آدرسی که از آن عبارات مشتق شده بود را به اپراتورهای آن دادند.