Beveiligingsbedrijf iVerify heeft op 8 oktober een nieuwe variant ontdekt van DarkSword, de iOS-spyware die eerder dit jaar wereldwijd opschudding veroorzaakte. De variant heet P7 DarkSword, genoemd naar het voorvoegsel “p7_” dat de aanvallers aan gewijzigde variabelen in de broncode gaven. iVerify stuitte op de malware tijdens onderzoek naar een infectie op de iPhone van een medewerker van een financiële instelling, in augustus.
Het oorspronkelijke DarkSword-pakket werd in maart door Google Threat Intelligence Group, iVerify en Lookout beschreven als een volledige exploitketen voor iOS 18.4 tot en met 18.7, gebruikt door commerciële surveillance-leveranciers en vermoedelijk statelijke actoren, onder meer tegen doelwitten in Saudi-Arabië, Turkije, Malaysia en Oekraïne. Daarbij werden zes kwetsbaarheden misbruikt, drie ervan als zero-day: CVE-2025-31277, CVE-2025-43529 en CVE-2026-20700, naast CVE-2025-14174, CVE-2025-43510 en CVE-2025-43520. Apple heeft die lekken sindsdien gedicht, maar een deel van de iPhones draait volgens iVerify nog altijd op een kwetsbare iOS-versie.
Stiller, en nu ook achter cryptowallets aan
P7 DarkSword onderscheidt zich vooral door wat de malware doet nadat een toestel is binnengedrongen. Waar eerdere varianten de volledige Keychain-database van het slachtoffer wegstuurden om die op de infrastructuur van de aanvaller te verwerken, zet P7 die data eerst op het toestel zelf om in een JSON-bestand voordat het wordt geüpload. Dat maakt detectie moeilijker en levert de aanvaller sneller bruikbare data op. Nieuw is ook dat de malware gericht cryptowallet-apps zoals imToken leegtrekt, en dat ze via tweerichtingscommunicatie met de command-and-control-server op afstand opdrachten kan ontvangen: foto’s maken, bestanden en foto’s downloaden, de inhoud van apps uitlezen, Apple Notes-databases kopiëren en het bestandssysteem doorzoeken. Een implant die in SpringBoard draait, checkt elke vijftien seconden op nieuwe opdrachten, een interval dat de aanvaller op afstand kan aanpassen.
Ook het eigen gedrag van de malware is stiller gemaakt: minder logging, minder procesinjecties, en een vlag in de localStorage van de browser om te voorkomen dat hetzelfde toestel twee keer wordt aangevallen. iVerify vermoedt dat delen van de code met AI-hulp zijn geschreven. Verspreiding verloopt via kwaadaardige advertenties en watering-hole-aanvallen op gecompromitteerde websites.
Voor wie een iPhone met een verouderde iOS-versie gebruikt is dit een reden om niet langer te wachten met updaten. Oudere toestellen op de iOS 18-lijn lopen het meeste risico, omdat P7 juist op die versies is gericht. Voor wie een verhoogd risico loopt, zoals journalisten, activisten of mensen met een aanzienlijk cryptovermogen op hun telefoon, blokkeert de Lockdown Mode van Apple een flink deel van de aanvalsoppervlakken die exploitketens zoals DarkSword gebruiken.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt u een iPhone met een verouderde iOS-versie, zeker uit de 18-lijn? Werk bij via Instellingen, Algemeen, Software-update en zet automatische updates aan. Voor wie extra risico loopt, zoals journalisten of mensen met aanzienlijk cryptovermogen op hun telefoon, is Lockdown Mode een verdere stap.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.