🚨 Інтелект про загрози | Крадіжка активів гаманця DarkSword через iOS Safari Команда безпеки SlowMist виявила кампанію, яка видає себе за безкоштовний VPS-сервіс. Сторінка-приймач на event[.]polarnode[.]vip є підставою, яка тихо завантажує lk[.]js і перевіряє на наявність iPhone Safari з iOS 18.4–18.6.2. Пристроям, що відповідають критеріям, надсилається прихований iframe (/dist/sandbox.html), який запускає багатоетапний n-day ланцюжок, що повторює шість CVE-вразливостей DarkSword: WebKit RCE, виходи з сандбоксу GPU / mediaplaybackd та читання/запис ядра. Після експлуатації впроваджуються три плагіни: 🔹 SpringBoard (sync.js) — рекурсивно збирає файли з контейнерів додатків, спільних AppGroups або за абсолютними шляхами 🔹 securityd (auth.js) — збирає дані genp / inet з Keychain 🔹 kbd (input.js) — захоплює введення з клавіатури, коли imToken, TokenPocket або TronLink знаходяться на передньому плані MistEye відновила шлях доставки та виділила IOC для C2, завантажувача та імплантата. Коли GTIG вперше зафіксував DarkSword, три з шести CVE були нульовими днями у дикій природі. До вересня 2026 року всі шість були публічно розкриті та виправлені Apple, що робить поточну доставку повторним використанням шести-CVE ланцюжка DarkSword. ❗️Відвідування сторінки саме по собі не свідчить про крадіжку seed-фрази або приватного ключа — спочатку підтвердьте це за допомогою пристройної форензичного аналізу. Сторінка з пропозицією безкоштовного VPS, яка вимагає лише Safari на вузькому діапазоні iOS, не є сторінкою VPS. Оновіть до iOS / iPadOS 18.7.3 або 26.3+, і заблокуйте https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / порт 36887. Прочитайте повний аналіз 👇 https://t.co/jCIowYojVM