بدافزار DarkSword با قابلیت‌های جدید به آیفون بازگشت

7 دقیقه مطالعه

پشتیبانی شبکه
امنیت سایبری
DarkSword
اطلاعات
کند
رمزارزی
ابزار
کیف

بدافزار DarkSword با قابلیت‌های جدید به آیفون بازگشت

خلاصه تحلیلی خبر

موضوعات اصلی: پشتیبانی شبکه، امنیت سایبری، DarkSword، اطلاعات، کند، رمزارزی

بدافزار DarkSword آیفون، سرقت اطلاعات کیف پول‌های رمزارزی و اجرای فرمان از راه دور را به نسخه جدید خود افزود.

پژوهشگران امنیت سایبری از شناسایی نسخه جدیدی از ابزار نفوذ DarkSword برای سیستم‌عامل iOS با نام P7 DarkSword خبر داده‌اند که قابلیت‌های پیشرفته‌تری برای سرقت اطلاعات، استخراج داده‌های کیف پول‌های رمزارزی و اجرای فرمان از راه دور دارد. این نسخه با کاهش ردپای خود روی دستگاه قربانی و برقراری ارتباط دوسویه با زیرساخت مهاجمان، امکان کنترل گسترده‌تر آیفون‌های آلوده را فراهم می‌کند.

بر اساس گزارش تازه شرکت امنیت موبایل iVerify که روز پنجشنبه منتشر شد، نسخه P7 در مقایسه با نمونه‌های پیشین، تغییرات مهمی در نحوه جمع‌آوری و انتقال اطلاعات ایجاد کرده است. این بدافزار اکنون می‌تواند داده‌های حساس ذخیره‌شده در زنجیره کلیدهای iOS و اطلاعات مرتبط با کیف پول‌های رمزارزی را مستقیماً روی دستگاه استخراج و سپس برای مهاجمان ارسال کند. نام P7 نیز از پیشوند متغیر «p7\_» در تغییرات اعمال‌شده روی کد اصلی DarkSword گرفته شده است.

ابزار نفوذ DarkSword نخستین‌بار در مارس ۲۰۲۶ به‌صورت عمومی توسط گروه اطلاعات تهدید گوگل (GTIG)، شرکت iVerify و مؤسسه امنیتی Lookout مستند شد. بررسی‌ها نشان می‌داد این ابزار با زنجیره‌کردن چند آسیب‌پذیری در iOS، امکان خروج از محیط ایزوله مرورگر، ارتقای سطح دسترسی تا هسته سیستم‌عامل و تزریق کد مخرب به فرایند SpringBoard را فراهم می‌کند؛ فرایندی که مسئول مدیریت صفحه اصلی و اجرای برنامه‌ها در آیفون است. این ابزار در نوامبر ۲۰۲۵ نیز در حملات واقعی شناسایی شده بود.

پژوهشگران معتقدند DarkSword احتمالاً ابتدا به‌عنوان یک محصول تجاری توسعه یافته و سپس به بازارهای غیررسمی راه پیدا کرده است؛ جایی که مهاجمان با انگیزه‌های مالی و سایر بازیگران تهدید سایبری به آن دسترسی پیدا کرده‌اند. از اواخر سال ۲۰۲۵، گزارش‌هایی از استفاده از این ابزار در حملاتی علیه کاربران و دستگاه‌های مستقر در عربستان سعودی، ترکیه، مالزی و اوکراین منتشر شده است. در میان عاملان مرتبط با این حملات، نام شرکت تجاری نظارت سایبری PARS Defense از ترکیه و گروه همسو با روسیه موسوم به Star Blizzard نیز مطرح شده است.

در اوت ۲۰۲۶ نیز پلتفرم مدیریت سطح حمله Censys از کارزار یک عامل تهدید ناشناس چینی‌زبان خبر داد که در آن از DarkSword علیه دستگاه‌های اپل استفاده می‌شد. در این کارزار، مهاجمان علاوه بر بهره‌برداری از آسیب‌پذیری‌ها، صفحه‌ای جعلی برای ورود به حساب اپل نیز نمایش می‌دادند.

یکی از مهم‌ترین تغییرات نسخه P7، افزایش توانایی آن در ارتباط مستمر با سرور فرماندهی و کنترل مهاجمان (C2) است. این بدافزار می‌تواند تقریباً هر ۱۵ ثانیه برای دریافت دستورهای جدید با زیرساخت مهاجم ارتباط برقرار کند، پیام‌های وضعیت ارسال کند و فهرستی از برنامه‌های نصب‌شده روی دستگاه را در اختیار اپراتور قرار دهد. همچنین، امکان دریافت و اجرای فرمان‌های سیستمی، فهرست‌برداری از فایل‌ها و پوشه‌ها، استخراج اطلاعات برنامه‌ها و انتقال فایل‌های انتخاب‌شده به سرور مهاجم در آن تعبیه شده است.

قابلیت‌های این نسخه به جمع‌آوری اطلاعات عمومی دستگاه محدود نیست. P7 DarkSword می‌تواند تصاویر ذخیره‌شده در آیفون، داده‌های برنامه Apple Notes، اطلاعات زنجیره کلید iCloud و داده‌های مرتبط با برخی کیف پول‌های رمزارزی را استخراج کند. این ابزار همچنین قادر است اطلاعات برنامه‌های نصب‌شده و فایل‌های موجود در محیط اختصاصی آن‌ها را بررسی کند. در بخش مربوط به کیف پول‌ها، قابلیت شناسایی برنامه‌های رمزارزی و استخراج اطلاعات مرتبط با کیف پول imToken به‌طور مشخص گزارش شده است.

در نسخه‌های قدیمی‌تر، پایگاه داده زنجیره کلید دستگاه عمدتاً کپی و برای پردازش به زیرساخت مهاجم منتقل می‌شد؛ اما نسخه جدید داده‌ها را پیش از انتقال، روی خود دستگاه به قالب JSON تبدیل می‌کند. این تغییر می‌تواند روند استخراج و آماده‌سازی اطلاعات حساس را برای مهاجمان ساده‌تر کند. تزریق بدافزار به فرایند SpringBoard نیز به آن اجازه می‌دهد ارتباطات لازم با زیرساخت کنترل مهاجم را مدیریت کند.

گزارش‌ها همچنین نشان می‌دهند که DarkSword ممکن است از طریق زیرساخت‌XNET به کاربران منتقل شود. به گفته پژوهشگر امنیتی اسکات هلم، دامنه ecomtrack.io که پیش‌تر به یک استارتاپ منحل‌شده چک در حوزه تحلیل تجارت الکترونیک تعلق داشت، پس از منقضی شدن در ۱۵ سپتامبر ۲۰۲۶ دوباره ثبت شده و برای هدایت کاربران به محتوای مخرب مورد استفاده قرار گرفته است. برخی فروشگاه‌های اینترنتی همچنان کدهای رهگیری قدیمی مرتبط با این سرویس را در صفحات خود داشتند و همین موضوع امکان سوءاستفاده از آن‌ها را فراهم کرده است.

کد مخرب مرتبط با این دامنه، ابتدا اطلاعات دستگاه و مرورگر بازدیدکننده را جمع‌آوری می‌کند و سپس ممکن است او را به وب‌سایت‌های کلاهبرداری یا قمار آنلاین هدایت کند. این کد همچنین با شناسایی خزنده‌XNET، مرورگرهای بدون رابط گرافیکی و ربات‌ها، تلاش می‌کند محتوای واقعی حمله را از ابزارهای تحلیل و شناسایی پنهان نگه دارد. یکی از مسیرهای مشاهده‌شده به پلتفرم جعلی معاملات رمزارزی chainmate.top منتهی می‌شود که زنجیره نفوذ DarkSword را به‌صورت مخفیانه ارائه می‌کند.

بدافزار مستقرشده از این مسیر می‌تواند طیف گسترده‌ای از اطلاعات شخصی را هدف قرار دهد؛ از جمله پیامک‌ها، فهرست مخاطبان، سابقه تماس‌ها، پیام‌های صوتی، تصاویر، داده‌های Apple Health، تاریخچه موقعیت مکانی، اعلان‌ها، گذرواژه‌های ذخیره‌شده شبکه‌های وای‌فای و فایل‌های متعلق به بیش از ۲۵ برنامه کیف پول رمزارزی. چنین دسترسی گسترده‌ای، خطر سرقت هویت، نقض حریم خصوصی و دسترسی غیرمجاز به دارایی‌های دیجیتال را افزایش می‌دهد.

پژوهشگران همچنین از مشاهده موارد محدودی خبر داده‌اند که در آن‌ها DarkSword و ابزار نفوذ دیگری به نام Coruna به‌صورت ترکیبی به کار گرفته شده‌اند؛ ترکیبی که iVerify از آن با عنوان DarkCoruna یاد کرده است. به گفته این شرکت، برخی نمونه‌های مشاهده‌شده تلاش‌های ناموفق و کم‌کیفیتی برای تغییر کدهای افشاشده بوده‌اند و نشانه قطعی از مهندسی معکوس موفق Coruna با کمک مدل‌های زبانی بزرگ در دست نیست. بااین‌حال، ترکیب این دو ابزار در برخی حملات واقعی نیز مشاهده شده است.

پلتفرم Censys نیز اعلام کرده است که پنج میزبان اینترنتی حاوی اجزای مرتبط با DarkSword و Coruna را شناسایی کرده است. یکی از این میزبان‌ها بسته ترکیبی DarkSword Fusion را ارائه می‌کند، درحالی‌که برخی دیگر به‌عنوان سرور فرماندهی و کنترل، زیرساخت آزمایش یا محل توزیع اجزای مخرب فعالیت داشته‌اند. بررسی یکی از سرورهای عملیاتی، وجود ۱۱ عبارت بازیابی کیف پول رمزارزی، ۱۷۹ پوشه حاوی داده‌های استخراج‌شده از دستگاه‌ها و فهرستی شامل ۷۵ حساب در سامانه مدیریتی مهاجمان را آشکار کرده است.

تحلیل زیرساخت‌ها نشان می‌دهد که دست‌کم بخشی از این عملیات احتمالاً توسط یک بازیگر تهدید چینی‌زبان با انگیزه سرقت رمزارز اداره می‌شود. بااین‌حال، هویت دقیق گردانندگان این زیرساخت هنوز مشخص نیست. پژوهشگران همچنین از مشاهده اپراتور دیگری در چین خبر داده‌اند که از همین ابزار علیه دستگاه‌های iOS استفاده می‌کند و یک برنامه کیف پول رمزارزی دیگر به نام BitKeep را نیز هدف قرار داده است.

بررسی سرورهای عملیاتی DarkSword به شناسایی دو شناسه آسیب‌پذیری CVE-2025-24201 و CVE-2025-31200 نیز منجر شده است. آسیب‌پذیری نخست در موتور WebKit می‌تواند امکان خروج از محیط ایزوله محتوای وب را فراهم کند و آسیب‌پذیری دوم به چارچوب Core Audio مربوط است و ممکن است با پردازش یک فایل رسانه‌ای دست‌کاری‌شده، اجرای کد مخرب را امکان‌پذیر کند. اپل برای این دو آسیب‌پذیری به‌ترتیب در iOS 18.3.2 و iOS 18.4.1 وصله امنیتی منتشر کرده است.

گزارش‌ها حاکی از آن است که برخی مهاجمان پس از انتشار عمومی اطلاعات DarkSword، تلاش کرده‌اند این ابزار را برای نسخه‌های جدیدتر iOS نیز توسعه دهند؛ بااین‌حال، تلاش‌های مشاهده‌شده برای سازگار کردن آن با iOS 26.x عمدتاً ناموفق بوده‌اند. پژوهشگران تأکید می‌کنند که انتشار عمومی کدهای ابزارهای نفوذ می‌تواند زمینه را برای گسترش آن‌ها میان مهاجمان کم‌تجربه‌تر فراهم کند، حتی اگر بسیاری از نسخه‌های دست‌کاری‌شده در عمل کارایی نداشته باشند.

گسترش DarkSword و ترکیب آن با ابزارهایی مانند Coruna بار دیگر نشان می‌دهد که افشای کدهای سوءاستفاده و انتقال آن‌ها میان گروه‌های مجرمانه می‌تواند دامنه تهدیدهای سایبری را افزایش دهد. برای کاربران آیفون، نصب به‌روزرسانی‌های امنیتی منتشرشده از سوی اپل، پرهیز از باز کردن پیوندهای مشکوک و خودداری از وارد کردن اطلاعات حساب اپل یا کیف پول رمزارزی در وب‌سایت‌های ناشناس، از مهم‌ترین اقدامات برای کاهش خطر آلودگی و سرقت اطلاعات به شمار می‌رود.

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.