Mensaje de BlockBeats, 19 de octubre, la agencia de seguridad SlowMist (Slow Mist) publicó un informe de inteligencia de amenazas profundo sobre el backend del troyano DarkSword y la cadena de ataque iOS. El informe rastreó la evolución de la infraestructura de ataque y reveló su alto nivel de peligrosidad para los usuarios de activos criptográficos.
Según el análisis de SlowMist, tras la divulgación del código de explotación relacionado en marzo de 2026, DarkSword-PROV2 apareció en GitHub en julio, y su infraestructura de ataque fue observada en funcionamiento a finales de septiembre. El equipo de SlowMist no solo rastreó su infraestructura en línea, sino que también vinculó su panel de administración con el repositorio público de GitHub, y descompuso el código de explotación, la cadena de entrega y las capacidades de explotación posteriores al compromiso. El informe señala varios hallazgos clave sobre este marco de ataque:
Línea de ataque completamente automatizada que integra la entrega de vulnerabilidades, recolección de dispositivos y datos, robo de datos y recopilación de fondos de billeteras criptográficas.
· Capacidad amplia y profunda para robar datos; este paquete no solo apunta a Keychain, archivos e información, sino que también está específicamente diseñado para datos de billeteras criptográficas, con la capacidad de descifrar datos de billeteras y reunir fondos.
· Aunque el kit afirma ser compatible con iOS 13 y versiones posteriores, el análisis del código confirma que la ventana real de explotación efectiva se centra en las versiones iOS 18.6–18.7.2 y iOS 26.0–26.1.
Los componentes de vulnerabilidad públicos han sido weaponizados e integrados en marcos de ataque desplegables, lo que reduce significativamente el umbral para lanzar ataques complejos a iOS.
Ante esta amenaza, SlowMist proporcionó recomendaciones de seguridad claras. Los usuarios deben mantener actualizado su sistema iOS y evitar hacer clic en enlaces no confiables, ya que simplemente abrir una página maliciosa en el navegador Safari puede activar la vulnerabilidad. Si el dispositivo ha accedido previamente a una página de aterrizaje sospechosa, los usuarios deben considerar inmediatamente que su frase de recuperación y clave privada han sido comprometidas, y deben crear una nueva billetera en un dispositivo limpio que nunca haya accedido a dicha página, transfiriendo luego sus activos. Además, los usuarios deben revisar exhaustivamente todas las transacciones y autorizaciones de tokens anormales en cada cadena, y revocar inmediatamente las autorizaciones innecesarias (Revoke).