11 mots de passe mnémotechniques, 179 répertoires d'appareils : DarkSword ne nécessite que l'ouverture d'une page web pour voler des cryptomonnaies. L'entreprise de cartographie des actifs numériques Censys a publié, le 7 octobre, un rapport confirmant que le kit d'exploitation iOS DarkSword continue de cibler les wallets de cryptomonnaies. Les victimes n'ont pas besoin de télécharger quoi que ce soit ; il suffit d'ouvrir une page web piégée. La chaîne d'attaque commence par l'exécution de code via WebKit et JavaScriptCore, échappe à la sandbox du navigateur, élève les privilèges jusqu'au noyau, puis injecte SpringBoard, le processus système gérant le démarrage des applications et l'écran d'accueil. Une fois l'injection effectuée, 18 modules wallet prennent le relais — un module par wallet — et s'injectent dès le démarrage de l'application cible, visant MetaMask, Phantom, Trust Wallet, imToken, etc. Ce outil fonctionne comme une entreprise. Un tableau de bord contient une liste de 75 comptes, chacun avec un taux de commission et un quota d'appareils ; les agents disposent de leurs propres canaux de distribution, et la liste blanche des commandes dépasse 60 entrées, chaque exécution nécessitant une confirmation secondaire.