🚨 استخبارات التهديد | سرقة أصول محفظة DarkSword عبر Safari على iOS حدد فريق SlowMist للأمان حملة تُظهر نفسها كخدمة VPS مجانية. صفحة الهبوط على event[.]polarnode[.]vip هي صفحة مزيفة تحمّل تلقائيًا lk[.]js وتتحقق من وجود أجهزة iPhone Safari على iOS 18.4–18.6.2. تتلقى الأجهزة المطابقة iframe مخفي (/dist/sandbox.html) يُطلق سلسلة متعددة المراحل من نوع n-day تعتمد على سلسلة DarkSword المكونة من ستة CVEs: تنفيذ كود عن بُعد في WebKit، وتهريب من صندوق الحماية GPU / mediaplaybackd، وقراءة/كتابة نواة. بعد الاستغلال، يتم حقن ثلاثة مكونات إضافية: 🔹 SpringBoard (sync.js) — يجمع الملفات بشكل تكراري من حاويات التطبيقات، أو AppGroups المشتركة، أو مسارات مطلقة 🔹 securityd (auth.js) — يجمع بيانات genp / inet من Keychain 🔹 kbd (input.js) — يلتقط إدخال لوحة المفاتيح عندما يكون imToken أو TokenPocket أو TronLink في المقدمة أعادت MistEye إعادة بناء مسار التسليم واستخرجت مؤشرات التهديد (IOCs) الخاصة بالخادم التحكمي (C2)، والمحمل، والبرمجية الخبيثة. عندما لاحظ GTIG DarkSword لأول مرة، كانت ثلاثة من ستة CVEs عبارة عن ثغرات صفرية نشطة. بحلول سبتمبر 2026، تم الكشف عن جميعها علنًا وتصحيحها من قبل Apple، مما يجعل التسليم الحالي إعادة استخدام لسلسلة DarkSword المكونة من ستة CVEs من نوع n-day. ❗️زيارة الصفحة وحدها لا تثبت سرقة عبارة البذور أو المفتاح الخاص — راجع الأدلة الرقمية على الجهاز أولًا. صفحة VPS مجانية تطلب فقط Safari على نطاق ضيق من iOS ليست صفحة VPS. قم بالتحديث إلى iOS / iPadOS 18.7.3 أو 26.3+، واحظر https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / المنفذ 36887. اقرأ التحليل الكامل 👇 https://t.co/jCIowYojVM