慢雾分析DarkSword iOS攻击链及后台基础设施

慢雾发布 DarkSword 木马后端及 iOS 攻击链分析：2026 年 3 月相关漏洞利用代码被公开，7 月 DarkSword-PROV2 出现在 GitHub，9 月下旬研究人员发现其攻击基础设施已投入实际运行。该基础设施集成了漏洞利用投递、设备与数据收集、数据外泄及加密货币钱包资金归集等功能；尽管声称支持 iOS 13 及更高版本，代码分析显示其漏洞利用实际仅覆盖 iOS 18.6–18.7.2 和 iOS 26.0–26.1 两个区间。慢雾建议及时更新 iOS 系统、避免点击不明链接；若曾访问可疑落地页，应视为助记词或私钥可能已泄露，用未访问过该页面的设备新建钱包并转移资产，同时检查异常交易与跨链授权并及时撤销。

安全机构 SlowMist（慢雾）发布威胁情报报告，追踪 DarkSword 木马后端及 iOS 攻击链。报告指出，自 2026 年 3 月相关漏洞利用代码公开后，DarkSword-PROV2 于 7 月现身 GitHub，其攻击基础设施在 9 月下旬被观测到已上线运行。该工具包具备从漏洞投递、数据窃取到加密钱包资金归集的自动化流水线，可解密钱包数据并归集资金。尽管其宣称支持 iOS 13 及以上版本，代码分析显示实际有效漏洞利用窗口集中在 iOS 18.6–18.7.2 与 iOS 26–26.1 两个版本区间。慢雾建议用户保持系统更新、避免点击不可信链接；若曾访问可疑落地页，应将助记词和私钥视为已泄露，使用干净设备创建新钱包并转移资产，同时检查链上异常交易与代币授权并撤销不必要的授权。

慢雾威胁情报团队发布对 DarkSword iOS 攻击链后端与投递链的分析，称该基础设施已产品化，含统一入口、两代管理面板和 1,045 条载荷的武器库。面板后台与 GitHub 仓库 adoemwanmei/DarkSword-PROV2 的 API 标题、版本号 1.1.0 及前端依赖完全对应，攻击链与 DarKDevz/DarKSward 共享来源。慢雾指出，投递入口声称覆盖 iOS 13.0 及以上、载荷版本标签延伸至 26.6.1，但路由代码显示仅 iOS 18.6–18.7.2 与 26.0–26.1 两个窗口具备完整可利用链；上游代码本无加密货币钱包能力，攻击者新增了 keystore 解密、Keychain 解包与资金归集端点。面板 30 天窗口显示 20,187 次页面访问、1,187 次利用尝试，其中 10 次达到利用成功阶段、9 次完成数据外传。