Mensagem do BlockBeats, 19 de outubro: a agência de segurança SlowMist lançou um relatório detalhado de inteligência de ameaças sobre o backend do malware DarkSword e a cadeia de ataque iOS. O relatório rastreou a evolução da infraestrutura de ataque e revelou seu alto grau de perigo para usuários de ativos criptográficos.
Segundo análise da SlowMist, desde a divulgação do código de exploração de vulnerabilidade em março de 2026, o DarkSword-PROV2 apareceu no GitHub em julho, e sua infraestrutura de ataque foi observada em funcionamento no final de setembro. A equipe da SlowMist não apenas rastreou sua infraestrutura online, mas também relacionou seu painel de administração ao repositório público do GitHub e descompôs o código de exploração, a cadeia de entrega e as capacidades de exploração pós-intrusão. O relatório apontou várias descobertas-chave sobre esse framework de ataque:
Cadeia de ataque totalmente automatizada, integrando entrega de vulnerabilidades, coleta de dispositivos e dados, roubo de dados e concentração de fundos em carteiras criptografadas.
· Capacidade abrangente e aprofundada de roubo de dados; este kit não apenas alveja chaves de acesso (Keychain), arquivos e informações, mas também se concentra especificamente em dados de carteiras criptográficas, com capacidade de descriptografar dados da carteira e reunir fundos.
· Embora o kit afirme suportar iOS 13 e versões superiores, a análise de código confirmou que a janela real de exploração de vulnerabilidades está concentrada nas faixas de versões iOS 18.6–18.7.2 e iOS 26.0–26.1.
Os componentes de vulnerabilidade públicos já foram armados e integrados em frameworks de ataque implantáveis, reduzindo significativamente a barreira para iniciar ataques complexos ao iOS.
Diante dessa ameaça, a SlowMist forneceu recomendações de segurança claras. Os usuários devem manter seu sistema iOS atualizado e evitar clicar em links não confiáveis, pois apenas abrir a página maliciosa no navegador Safari pode desencadear a vulnerabilidade. Se o dispositivo já acessou alguma página suspeita, os usuários devem considerar imediatamente que suas frases de recuperação e chaves privadas foram comprometidas e devem criar uma nova carteira em um dispositivo limpo, nunca acessado por essa página, e transferir seus ativos. Além disso, os usuários devem revisar completamente todas as transações e autorizações de tokens anormais em todas as cadeias e revogar imediatamente as autorizações desnecessárias (Revoke).