🚨 Threat Intelligence | Pagnanakaw ng Asset ng Wallet na DarkSword sa iOS Safari Tinukoy ng SlowMist Security Team ang isang kampanya na nagpapakita bilang libreng VPS service. Ang landing page sa event[.]polarnode[.]vip ay isang decoy na tahimik na naglo-load ng lk[.]js at sinusuri kung iPhone Safari ay nasa iOS 18.4–18.6.2. Ang mga tugmaan na device ay natatanggap ng isang nakatago na iframe (/dist/sandbox.html) na naglalunsad ng isang multi-stage n-day chain na gumagamit ng DarkSword six-CVE chain: WebKit RCE, GPU / mediaplaybackd sandbox escapes, at kernel read/write. Sa post-exploitation, inilalagay ang tatlong plugin: 🔹 SpringBoard (sync.js) — kumukuha nang rekursibo ng mga file mula sa app containers, shared AppGroups, o absolute paths 🔹 securityd (auth.js) — kumukuha ng genp / inet data mula sa Keychain 🔹 kbd (input.js) — nagsasalita ng keyboard input kapag ang imToken, TokenPocket, o TronLink ay nasa foreground Binuo ng MistEye ang delivery path at inilabas ang C2, loader, at implant IOCs. Noong unang makita ni GTIG ang DarkSword, tatlo sa anim na CVE ay zero-days sa kalikasan. Sa Setyembre 2026, lahat ng anim ay naging public na inilabas at pinatch ng Apple, gawaing n-day reuse ang kasalukuyang delivery ng DarkSword six-CVE chain. ❗️Ang pagbisita lamang sa pahina ay hindi nagpapatotoo na nakuha ang seed phrase o private key — kumpirmahin muna sa device forensics. Ang isang libreng VPS page na naghahanap lamang ng Safari sa maliit na iOS range ay hindi isang VPS page. I-update ang iOS / iPadOS 18.7.3 o 26.3+, at i-block ang https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / port 36887. Basahin ang buong analisis 👇 https://t.co/jCIowYojVM