🚨 Thông tin mối đe dọa | Trộm tài sản ví DarkSword trên iOS Safari Đội ngũ Bảo mật SlowMist đã xác định một chiến dịch giả danh là dịch vụ VPS miễn phí. Trang đích tại event[.]polarnode[.]vip là một mồi nhử âm thầm tải về lk[.]js và phát hiện thiết bị iPhone Safari chạy iOS 18.4–18.6.2. Các thiết bị phù hợp sẽ nhận một iframe ẩn (/dist/sandbox.html) kích hoạt chuỗi n-day đa giai đoạn tái sử dụng chuỗi sáu CVE của DarkSword: WebKit RCE, thoát khỏi sandbox GPU / mediaplaybackd và đọc/ghi kernel. Sau khi khai thác, ba plugin được tiêm vào: 🔹 SpringBoard (sync.js) — thu thập đệ quy các tệp từ các container ứng dụng, AppGroups chia sẻ hoặc đường dẫn tuyệt đối 🔹 securityd (auth.js) — thu thập dữ liệu genp / inet từ Keychain 🔹 kbd (input.js) — ghi lại đầu vào bàn phím khi imToken, TokenPocket hoặc TronLink đang ở chế độ nền trước MistEye đã tái tạo lại đường dẫn phân phối và trích xuất các IOC của C2, loader và implant. Khi GTIG lần đầu tiên phát hiện DarkSword, ba trong số sáu CVE là zero-day đang được khai thác ngoài thực tế. Đến tháng 9 năm 2026, cả sáu CVE đều đã được công khai và Apple đã vá chúng, khiến việc phân phối hiện tại là sự tái sử dụng n-day của chuỗi sáu CVE DarkSword. ❗️Việc truy cập một trang web đơn thuần không chứng minh việc đánh cắp cụm từ hạt giống hoặc khóa riêng — hãy xác minh thông qua phân tích forensics thiết bị trước. Một trang VPS miễn phí chỉ nhắm đến Safari trên một phạm vi iOS hẹp không phải là trang VPS. Cập nhật lên iOS / iPadOS 18.7.3 hoặc 26.3+, và chặn https://t.co/D0LcBOglAA / https://t.co/PtlKTGlaVX / cổng 36887. Đọc phân tích đầy đủ 👇 https://t.co/jCIowYojVM