🚨 थ्रेट इंटेलिजेंस | iOS Safari DarkSword वॉलेट एसेट चोरी स्लोमिस्ट सुरक्षा टीम ने एक ऐसे अभियान की पहचान की है जो मुफ्त VPS सेवा का नाटक कर रहा है। event[.]polarnode[.]vip पर स्थित लैंडिंग पेज एक छल है जो चुपचाप lk[.]js लोड करता है और iOS 18.4–18.6.2 पर iPhone Safari के लिए स्क्रीनिंग करता है। मेल खाने वाले डिवाइस को एक छिपा हुआ iframe (/dist/sandbox.html) मिलता है जो DarkSword सिक्स-CVE चेन का पुनःउपयोग करते हुए एक मल्टी-स्टेज n-day चेन शुरू करता है: WebKit RCE, GPU / mediaplaybackd सैंडबॉक्स एस्केप, और कर्नेल पढ़ना/लिखना। एक्सप्लॉइट के बाद तीन प्लगइन्स इंजेक्ट किए जाते हैं: 🔹 SpringBoard (sync.js) — ऐप कंटेनर, साझा AppGroups, या निरपेक्ष पथ से फाइलों को पुनरावृत्ति से एकत्र करता है 🔹 securityd (auth.js) — Keychain से genp / inet डेटा एकत्र करता है 🔹 kbd (input.js) — imToken, TokenPocket, या TronLink फोरग्राउंड में होने पर कीबोर्ड इनपुट को कैप्चर करता है MistEye ने डिलीवरी पथ को पुनःबनाया और C2, लोडर, और इम्प्लांट IOCs को निकाला। jab GTIG ने DarkSword को पहली बार देखा, तब छह में से तीन CVEs वास्तविक दुनिया में zero-days थे। सितंबर 2026 तक, सभी छह CVEs Apple द्वारा सार्वजनिक रूप से प्रकाशित और पैच कर दिए गए, जिससे वर्तमान डिलीवरी DarkSword सिक्स-CVE चेन का n-day पुनःउपयोग है। ❗️केवल पेज का दौरा करने से सीड फ्रेज या प्राइवेट की की स्थिति की पुष्टि नहीं होती — पहले डिवाइस के साक्ष्य से पुष्टि करें। एक मुफ्त VPS पेज, जो केवल iOS की संकीर्ण सीमा पर Safari को ही चाहता है, VPS पेज नहीं है। iOS / iPadOS 18.7.3 या 26.3+ पर अपडेट करें, और https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / पोर्ट 36887 को ब्लॉक करें। पूरा विश्लेषण पढ़ें 👇 https://t.co/jCIowYojVM