🚨 Tehdit İstihbaratı | iOS Safari DarkSword Cüzdan Varlık Çalınması SlowMist Güvenlik Takımı, ücretsiz bir VPS hizmeti taklit eden bir kampanyayı tespit etti. event[.]polarnode[.]vip adresindeki giriş sayfası, lk[.]js dosyasını sessizce yükleyen ve iOS 18.4–18.6.2 üzerindeki iPhone Safari cihazlarını tespit eden bir kandilidir. Eşleşen cihazlara gizli bir iframe (/dist/sandbox.html) gönderilir ve bu iframe, DarkSword altı-CVE zincirini yeniden kullanan çok aşamalı bir n-day zincirini başlatır: WebKit RCE, GPU / mediaplaybackd sandbox kaçışı ve çekirdek okuma/yazma. Saldırı sonrası üç eklenti enjekte edilir: 🔹 SpringBoard (sync.js) — Uygulama konteynerlerinden, paylaşılan AppGroups’tan veya mutlak yollardan dosyaları özyinelemeli olarak toplar 🔹 securityd (auth.js) — Keychain’den genp / inet verilerini toplar 🔹 kbd (input.js) — imToken, TokenPocket veya TronLink ön planda olduğunda klavye girdilerini yakalar MistEye, teslimat yolunu yeniden oluşturdu ve C2, yükleyici ve implante ait IOCs’leri çıkardı. GTIG, DarkSword’u ilk kez gözlemlediğinde, altı CVE’den üçü dünyada sıfır-günlük (zero-day) olarak kullanılıyordu. Eylül 2026 itibarıyla, tüm altı CVE açıkça duyurulmuş ve Apple tarafından düzeltildi; bu nedenle mevcut teslimat, DarkSword altı-CVE zincirinin n-day yeniden kullanımıdır. ❗️Sadece bir sayfayı ziyaret etmek, anahtar cümleyi veya özel anahtarı çalındığı anlamına gelmez — önce cihaz forensik analiziyle doğrulayın. Yalnızca iOS’un dar bir aralığındaki Safari’yi isteyen ücretsiz bir VPS sayfası, bir VPS sayfası değildir. iOS / iPadOS 18.7.3 veya 26.3+ sürümüne güncelleyin ve https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / port 36887’yi engelleyin. Tam analizi okuyun 👇 https://t.co/jCIowYojVM