🚨 Intelligence sur les menaces | Vol de ressources du wallet DarkSword sur iOS Safari L'équipe de sécurité SlowMist a identifié une campagne se faisant passer pour un service VPS gratuit. La page d'atterrissage sur event[.]polarnode[.]vip est un leurre qui charge silencieusement lk[.]js et détecte les appareils iPhone Safari sous iOS 18.4–18.6.2. Les appareils correspondants reçoivent un iframe caché (/dist/sandbox.html) qui déclenche une chaîne n-day réutilisant la chaîne DarkSword à six CVE : RCE WebKit, échappements du sandbox GPU / mediaplaybackd et lecture/écriture noyau. Après l'exploitation, trois plugins sont injectés : 🔹 SpringBoard (sync.js) — collecte récursivement les fichiers depuis les conteneurs d'applications, les AppGroups partagés ou les chemins absolus 🔹 securityd (auth.js) — collecte les données genp / inet du Keychain 🔹 kbd (input.js) — capture les entrées clavier lorsque imToken, TokenPocket ou TronLink est en premier plan MistEye a reconstitué le chemin de livraison et extrait les IOCs du C2, du chargeur et de l'implant. Lorsque GTIG a observé pour la première fois DarkSword, trois des six CVE étaient des zéro-jours actifs. En septembre 2026, les six ont été rendues publiques et corrigées par Apple, ce qui fait de la livraison actuelle une réutilisation n-day de la chaîne DarkSword à six CVE. ❗️Une simple visite de la page ne prouve pas le vol de la phrase secrète ou de la clé privée — confirmez d'abord par une analyse forensique de l'appareil. Une page proposant un VPS gratuit qui ne cible que Safari sur une plage étroite d'iOS n'est pas une page VPS. Mettez à jour vers iOS / iPadOS 18.7.3 ou 26.3+, et bloquez https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / le port 36887. Lisez l'analyse complète 👇 https://t.co/jCIowYojVM