BlockBeats, le 19 octobre, l'agence de sécurité SlowMist a publié un rapport d'intelligence sur les menaces approfondi concernant le backend du cheval de Troie DarkSword et la chaîne d'attaque iOS. Le rapport retrace l'évolution de cette infrastructure d'attaque et révèle son haut niveau de danger pour les utilisateurs d'actifs cryptographiques.
Selon une analyse de SlowMist, après la publication du code d'exploitation lié en mars 2026, DarkSword-PROV2 est apparu sur GitHub en juillet, et son infrastructure d'attaque a été observée en ligne à la fin septembre. L'équipe SlowMist a non seulement suivi son infrastructure en ligne, mais aussi établi un lien entre son panneau de gestion et le dépôt GitHub public, tout en décomposant le code d'exploitation, la chaîne de livraison et les capacités d'exploitation post-intrusion. Le rapport met en évidence plusieurs découvertes clés concernant ce cadre d'attaque :
Chaîne d'attaque entièrement automatisée, intégrant la distribution de vulnérabilités, la collecte d'appareils et de données, le vol de données et la récolte des fonds des portefeuilles cryptographiques.
Capacité étendue et approfondie de vol de données : ce kit cible non seulement les keychains, les fichiers et les informations, mais aussi spécifiquement les données de portefeuilles cryptographiques, avec la capacité de déchiffrer les données des portefeuilles et de regrouper les fonds.
· Bien que ce kit prétende prendre en charge iOS 13 et versions ultérieures, une analyse du code confirme que la fenêtre d'exploitation réellement efficace se limite aux deux plages de versions : iOS 18.6–18.7.2 et iOS 26.0–26.1.
Les composants de vulnérabilité publiques ont été weaponisés et intégrés dans des cadres d'attaque déployables, réduisant considérablement la barrière à l'entrée pour lancer des attaques iOS complexes.
Face à cette menace, SlowMist a fourni des recommandations de sécurité claires. Les utilisateurs doivent maintenir leur système iOS à jour et éviter de cliquer sur des liens non fiables, car il suffit d'ouvrir une page malveillante dans le navigateur Safari pour déclencher la vulnérabilité. Si l'appareil a déjà accédé à une page de destination suspecte, les utilisateurs doivent considérer que leur phrase de récupération et leur clé privée ont été compromises, et doivent impérativement créer un nouveau portefeuille sur un appareil propre n'ayant jamais accédé à cette page, puis transférer leurs actifs. En outre, les utilisateurs doivent examiner en détail toutes les transactions anormales et les autorisations de jetons sur chaque chaîne, et révoquer immédiatement les autorisations inutiles (Revoke).