11 слов мнемонической фразы, 179 устройств в каталоге — DarkSword требует только открытия веб-страницы для кражи криптовалюты. Компания по картированию сетевых активов Censys 7 октября опубликовала отчет, подтвердив, что эксплуатационный набор DarkSword для iOS по-прежнему нацелен на криптокошельки. Жертвам не нужно скачивать ничего — достаточно открыть специально подготовленную веб-страницу. Цепочка атаки начинается с выполнения кода через WebKit и JavaScriptCore, выхода из песочницы браузера, повышения привилегий до ядра и последующей инъекции в SpringBoard — системный процесс, управляющий запуском приложений и главным экраном. После инъекции работают 18 модулей кошельков — по одному на каждый кошелек. При запуске целевого приложения происходит мгновенная инъекция, затрагивая MetaMask, Phantom, Trust Wallet, imToken и другие. Этот инструмент работает как бизнес. На панели управления хранится список из 75 аккаунтов, каждый с указанием процентной ставки комиссии и лимита устройств. Агенты имеют собственные каналы распространения, а белый список команд насчитывает более 60 пунктов, причем каждый запрос на выполнение требует двойного подтверждения.