🚨 Inteligencia de amenazas | Robo de activos del monedero DarkSword en iOS Safari El equipo de seguridad de SlowMist identificó una campaña que se hace pasar por un servicio VPS gratuito. La página de aterrizaje en event[.]polarnode[.]vip es una fachada que carga silenciosamente lk[.]js y detecta dispositivos iPhone Safari en iOS 18.4–18.6.2. Los dispositivos coincidentes reciben un iframe oculto (/dist/sandbox.html) que inicia una cadena de n-días que reutiliza la cadena de seis CVE de DarkSword: RCE en WebKit, escapes del sandbox GPU/mediaplaybackd y lectura/escritura del kernel. Tras la explotación, se inyectan tres plugins: 🔹 SpringBoard (sync.js): recopila recursivamente archivos desde contenedores de aplicaciones, AppGroups compartidos o rutas absolutas 🔹 securityd (auth.js): recopila datos genp/inet del Keychain 🔹 kbd (input.js): captura la entrada del teclado cuando imToken, TokenPocket o TronLink están en primer plano MistEye reconstruyó la ruta de entrega y extrajo los IOCs del C2, el cargador y el implante. Cuando GTIG observó por primera vez DarkSword, tres de los seis CVE eran zero-days en la naturaleza. Para septiembre de 2026, los seis habían sido divulgados públicamente y parcheados por Apple, lo que convierte a la entrega actual en una reutilización de n-días de la cadena de seis CVE de DarkSword. ❗️Una visita a la página por sí sola no demuestra el robo de la frase semilla o la clave privada; confirme primero con forense del dispositivo. Una página de VPS gratuito que solo busca Safari en un rango estrecho de iOS no es una página de VPS. Actualice a iOS/iPadOS 18.7.3 o 26.3+, y bloquee https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / puerto 36887. Lea el análisis completo 👇 https://t.co/jCIowYojVM