11 palavras-chave, 179 diretórios de dispositivos; o DarkSword precisa apenas que você abra uma página da web para roubar suas criptomoedas A empresa de mapeamento de ativos digitais Censys publicou um relatório em 7 de outubro, confirmando que o kit de exploração iOS DarkSword ainda está ativo contra carteiras de criptomoedas. As vítimas não precisam baixar nada; basta abrir uma página da web manipulada. A cadeia de ataque começa com a execução de código por meio do WebKit e JavaScriptCore, escapa do sandbox do navegador, eleva privilégios até o kernel e, por fim, injeta o SpringBoard, o processo do sistema responsável por gerenciar o início de aplicativos e a tela inicial. Após a injeção, 18 módulos de carteira realizam o trabalho — um módulo por carteira — e são injetados assim que o aplicativo-alvo é iniciado, visando MetaMask, Phantom, Trust Wallet, imToken e outros. Essa ferramenta opera como um negócio. No painel de controle, há uma lista de 75 contas, cada uma com uma taxa de comissão e cota de dispositivos; os agentes possuem canais próprios de distribuição, e a lista de comandos permitidos possui mais de 60 entradas, cada uma exigindo confirmação secundária antes da execução.