BlockBeats tin tức, ngày 19 tháng 10, tổ chức an ninh SlowMist đã công bố báo cáo tình báo mối đe dọa sâu về backend của mã độc DarkSword và chuỗi tấn công iOS. Báo cáo theo dõi quá trình phát triển của cơ sở hạ tầng tấn công này và làm rõ mức độ nguy hiểm cao đối với người dùng tài sản mã hóa.
Theo phân tích của SlowMist, kể từ khi mã khai thác lỗ hổng liên quan được công bố vào tháng 3 năm 2026, DarkSword-PROV2 đã xuất hiện trên GitHub vào tháng 7, và cơ sở hạ tầng tấn công của nó đã được quan sát thấy hoạt động từ cuối tháng 9. Nhóm SlowMist không chỉ theo dõi cơ sở hạ tầng trực tuyến của nó, mà còn liên kết bảng điều khiển quản lý với kho lưu trữ GitHub đã công khai, đồng thời phân tích mã khai thác lỗ hổng, chuỗi phân phối và khả năng khai thác sau khi xâm nhập. Báo cáo chỉ ra một số phát hiện chính về khung tấn công này:
Một quy trình tấn công tự động hóa cao, tích hợp các chức năng phân phối lỗ hổng, thu thập thiết bị và dữ liệu, đánh cắp dữ liệu và tập trung tiền trong ví tiền điện tử.
Khả năng đánh cắp dữ liệu rộng rãi và sâu rộng, bộ công cụ này không chỉ nhắm vào Keychain, tệp tin và thông tin, mà còn đặc biệt nhắm vào dữ liệu ví tiền điện tử, có khả năng giải mã dữ liệu ví và tập hợp vốn.
· Mặc dù bộ công cụ tuyên bố hỗ trợ iOS 13 trở lên, nhưng phân tích mã xác nhận rằng cửa sổ khai thác thực sự hiệu quả tập trung vào hai khoảng phiên bản: iOS 18.6–18.7.2 và iOS 26.0–26.1.
Các thành phần lỗ hổng công khai đã được vũ khí hóa và tích hợp vào các khung tấn công có thể triển khai, làm giảm đáng kể rào cản để thực hiện các cuộc tấn công iOS phức tạp.
Đối với mối đe dọa này, SlowMist đã đưa ra các khuyến nghị bảo mật rõ ràng. Người dùng nên duy trì hệ điều hành iOS được cập nhật và tránh nhấp vào các liên kết không đáng tin cậy, vì chỉ cần mở trang độc hại trong trình duyệt Safari đã có thể kích hoạt lỗ hổng. Nếu thiết bị từng truy cập vào các trang đích khả nghi, người dùng nên coi ngay các từ phục hồi và khóa riêng tư đã bị rò rỉ, và bắt buộc phải tạo ví mới trên thiết bị sạch chưa từng truy cập trang này, sau đó chuyển tài sản. Ngoài ra, người dùng cần kiểm tra toàn diện các giao dịch bất thường và quyền cấp token trên tất cả các chuỗi, và ngay lập tức hủy bỏ các quyền cấp không cần thiết (Revoke).