🚨 Интеллект угроз | Кража активов кошелька DarkSword через iOS Safari Команда безопасности SlowMist выявила кампанию, маскирующуюся под бесплатный VPS-сервис. Стартовая страница на event[.]polarnode[.]vip является приманкой, которая тайно загружает lk[.]js и проверяет наличие iPhone Safari на iOS 18.4–18.6.2. Устройства, соответствующие критериям, получают скрытый iframe (/dist/sandbox.html), запускающий многоэтапную цепочку n-day, повторно использующую шестичленную цепочку CVE DarkSword: WebKit RCE, обход песочницы GPU / mediaplaybackd и чтение/запись ядра. После эксплуатации внедряются три плагина: 🔹 SpringBoard (sync.js) — рекурсивно собирает файлы из контейнеров приложений, общих AppGroups или по абсолютным путям 🔹 securityd (auth.js) — собирает данные genp / inet из Keychain 🔹 kbd (input.js) — перехватывает ввод с клавиатуры, когда imToken, TokenPocket или TronLink находятся на переднем плане MistEye восстановила путь доставки и извлекла IOCs C2, загрузчика и импланта. Когда GTIG впервые зафиксировал DarkSword, три из шести CVE были нулевыми днями в дикой природе. К сентябрю 2026 года все шесть были публично раскрыты и исправлены Apple, что делает текущую доставку повторным использованием n-day цепочки DarkSword из шести CVE. ❗️Посещение страницы само по себе не подтверждает кражу seed-фразы или приватного ключа — сначала подтвердите это с помощью цифровой криминалистики устройства. Страница с предложением бесплатного VPS, которая требует Safari на узком диапазоне iOS, — это не страница VPS. Обновитесь до iOS / iPadOS 18.7.3 или 26.3+, и заблокируйте https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / порт 36887. Полный анализ 👇 https://t.co/jCIowYojVM