🚨 Inteligência de Ameaças | Roubo de Ativos da Carteira DarkSword no iOS Safari A equipe de segurança da SlowMist identificou uma campanha que se disfarça como um serviço VPS gratuito. A página de destino em event[.]polarnode[.]vip é uma armadilha que carrega silenciosamente lk[.]js e verifica se o dispositivo é um iPhone Safari com iOS 18.4–18.6.2. Dispositivos correspondentes recebem um iframe oculto (/dist/sandbox.html) que inicia uma cadeia multiestágio de n-dias reutilizando a cadeia de seis CVEs do DarkSword: RCE no WebKit, escapes do sandbox GPU/mediaplaybackd e leitura/gravação no kernel. Após a exploração, são injetados três plugins: 🔹 SpringBoard (sync.js) — coleta recursivamente arquivos de contêineres de aplicativos, AppGroups compartilhados ou caminhos absolutos 🔹 securityd (auth.js) — coleta dados genp/inet do Keychain 🔹 kbd (input.js) — captura entrada de teclado quando imToken, TokenPocket ou TronLink estiverem em primeiro plano O MistEye reconstruiu o caminho de entrega e extraiu os IOCs do C2, carregador e implante. Quando o GTIG observou pela primeira vez o DarkSword, três dos seis CVEs eram zero-days em uso ativo. Em setembro de 2026, todos os seis já haviam sido divulgados publicamente e corrigidos pela Apple, tornando a entrega atual uma reutilização de n-dias da cadeia de seis CVEs do DarkSword. ❗️Apenas visitar a página não prova roubo da frase semente ou da chave privada — confirme primeiro com forense do dispositivo. Uma página de VPS gratuito que só deseja Safari em uma faixa estreita do iOS não é uma página de VPS. Atualize para o iOS/iPadOS 18.7.3 ou 26.3+, e bloquee https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / porta 36887. Leia a análise completa 👇 https://t.co/jCIowYojVM