Пока одни пользователи спорят, обновляться ли на iOS 26, другие уже поплатились за промедление. iVerify обнаружила P7 DarkSword — модификацию известного эксплойт-кита, которая не просто крадёт данные, а делает это незаметно, быстро и с прямым управлением заражённым устройством.
Что такое DarkSword и почему это важно
DarkSword — это коммерческая эксплойт-цепочка, которая позволяет получить полный контроль над iPhone, просто заставив пользователя открыть вредоносную веб-страницу. Не нужно устанавливать приложения, не нужно вводить пароли. Цепочка использует уязвимости в JavaScriptCore, kernel и dyld, чтобы выбраться из песочницы Safari и внедриться в системный процесс SpringBoard.
Впервые DarkSword была задокументирована в марте 2026 года. Целевые версии — iOS 18.4 через 18.6.2. Атаки фиксировались в Саудовской Аравии, Турции, Малайзии и Украине. Использовали её как коммерческие вендоры слежки, так и группировки, предположительно связанные с государственными структурами.
Apple выпустила патчи: iOS 18.7.7, 15.8.7, 16.7.15. Причём iOS 18.7.7 сделали доступной даже для устройств, которые могли обновиться до iOS 26 — чтобы пользователи, сознательно отказавшиеся от новой системы, всё равно получили защиту.
Но проблема в том, что эксплойт-кит утёк в публичный доступ. А когда такое случается, остановить распространение уже невозможно.
Чем P7 отличается от предшественников
P7 DarkSword — не новая уязвимость. Это эволюция вредоносной нагрузки, которую разворачивают после успешной эксплуатации цепочки DarkSword. То есть если устройство уже заражено, P7 делает это заражение значительно опаснее.
Скрытность. Разработчики убрали отладочное логирование, сократили количество инъекций в процессы, используют localStorage браузера, чтобы не запускать эксплойт повторно на том же устройстве. Результат: предыдущие индикаторы компрометации (IOC) больше не работают. Если раньше защитные решения могли зацепиться за характерные следы, теперь — нет.
Кража Keychain на устройстве. Критическое изменение. Раньше варианты DarkSword копировали базу Keychain целиком и отправляли на серверы атакующих для обработки. P7 извлекает данные из Keychain прямо на iPhone, преобразует в JSON и только потом передаёт. Это снижает сетевую активность и делает перехват трафика менее информативным.
Двусторонняя C2-связь. Имплант, внедрённый в SpringBoard, пингует сервер атакующих каждые 15 секунд (интервал можно менять удалённо). В ответ приходят команды — не просто «собрать данные», а полноценное управление:
-
execute_command— выполнение системных команд (ls, cat, ps, whoami и другие) -
download— чтение произвольных файлов с устройства -
photos— загрузка фотографий из DCIM -
memo_scan— извлечение базы Apple Notes -
wallet_extract— целенаправленная кража данных криптокошельков (в образце — imToken) -
disk_scan— полное сканирование файловой системы
Это не разовый «слив» данных. Это удалённый доступ с возможностью адаптировать атаку под конкретную жертву в реальном времени.
Как распространяется
P7 DarkSword распространяется через watering hole атаки — компрометацию легитимных сайтов и вредоносную рекламу.
Ключевой момент: вы не обязательно являетесь целью. Вы просто оказались в нужное время на нужном сайте с уязвимой версией iOS. Атакующие используют браузерное хранилище, чтобы запомнить, что устройство уже эксплуатировалось — и не тратить ресурсы на повторную атаку.
Что делать
Обновитесь. Это единственное надёжное решение. iOS 18.7.7 и более поздние версии содержат патчи для всех уязвимостей, которые эксплуатирует DarkSword. Если ваше устройство поддерживает iOS 26 — обновляйтесь до актуальной версии. Если не поддерживает — минимум 18.7.7.
Включите Lockdown Mode. Если обновление по какой-то причине невозможно (старый девайс, корпоративные ограничения), Lockdown Mode существенно сокращает поверхность атаки. Он ограничивает функциональность, которую используют эксплойт-цепочки: JIT-компиляцию JavaScript, сложные WebGL-операции, некоторые типы вложений в сообщениях.
Не полагайтесь на антивирусы и MDM. P7 работает в памяти, внедряется в системные процессы и не оставляет файловых артефактов. Традиционные средства защиты мобильных устройств, включая MDM-решения, видят только уровень выше операционной системы и не могут обнаружить такую эксплуатацию.
Единственный реальный вектор защиты — своевременная установка обновлений Apple. Всё остальное — компромиссы.
