رسالة BlockBeats، في 19 أكتوبر، أصدرت وكالة الأمن SlowMist تقريرًا استخباراتيًا معمقًا حول الخادم الخلفي لفيروس DarkSword وسلسلة الهجوم على iOS. وقد تتبع التقرير تطور بنية الهجوم وكشف عن خطورته العالية على مستخدمي الأصول المشفرة.
وفقًا لتحليل SlowMist، بعد نشر كود استغلال الثغرة ذات الصلة في مارس 2026، ظهر DarkSword-PROV2 في يوليو على GitHub، وتم ملاحظة بنية الهجوم الخاصة به وقد تم تشغيلها في أواخر سبتمبر. لم يقتصر فريق SlowMist على تتبع بنية الهجوم عبر الإنترنت، بل قام أيضًا بربط لوحة التحكم الخاصة به مع مستودع GitHub العام، وفك تشفير كود الاستغلال وسلسلة التسليم وقدرات الاستغلال بعد الاختراق. أشار التقرير إلى عدة اكتشافات رئيسية حول إطار الهجوم هذا:
خطوة هجومية متكاملة وعالية التلقائية، تدمج تسليم الثغرات، جمع الأجهزة والبيانات، سرقة البيانات، وجمع الأموال من المحافظ المشفرة.
قدرة واسعة وعميقة على سرقة البيانات، حيث لا يقتصر هذا الأدوات على استهداف مفاتيح النظام (Keychain) والملفات والمعلومات، بل يركز أيضًا بشكل خاص على بيانات المحافظ المشفرة، ويتمتع بقدرة على فك تشفير بيانات المحافظ وجمع الأموال.
على الرغم من أن حزمة الأدوات تدّعي دعم iOS 13 والإصدارات الأعلى، إلا أن تحليل الكود أثبت أن نافذة الاستغلال الفعلية فعالة فقط في فترتي الإصدار iOS 18.6–18.7.2 و iOS 26.0–26.1.
تم تسلح المكونات المعرضة للثغرات العامة ودمجها في أطر هجوم قابلة للنشر، مما خفض بشكل كبير عتبة شن هجمات معقدة على iOS.
بالنسبة لهذا التهديد، قدم SlowMist توصيات أمنية واضحة. يجب على المستخدمين الحفاظ على تحديث نظام iOS وتجنب النقر على الروابط غير الموثوقة، حيث يمكن أن يؤدي فتح صفحة ضارة فقط في متصفح Safari إلى استغلال الثغرة. إذا كان الجهاز قد زار صفحة هبوط مشبوهة من قبل، يجب على المستخدمين اعتبار كلمة الاسترداد والمفتاح الخاص قد تم تسريبهما، ويجب إنشاء محفظة جديدة على جهاز نظيف لم يزر أبدًا هذه الصفحة ونقل الأصول إليها. بالإضافة إلى ذلك، يجب على المستخدمين التحقق الشامل من المعاملات غير الطبيعية وترخيص الرموز على جميع السلاسل، وإلغاء التصاريح غير الضرورية فورًا (Revoke).