پژوهشگران امنیت سایبری جزئیات نسخه‌ای جدید و پیش‌تر ناشناخته از ابزار اکسپلویت کیت DarkSword برای سیستم‌عامل iOS را با نام P7 DarkSword افشا کرده‌اند.
تغییرات فنی و قابلیت‌های جدید
بر اساس گزارش شرکت iVerify، نسخه P7 در مقایسه با نسخه‌های قبلی، ردپای (Footprint) کمتری روی دستگاه باقی می‌گذارد و قابلیت‌های جدیدی را اضافه کرده است. مهم‌ترین تغییرات این نسخه عبارتند از:
- سرقت داده‌ها: توانایی استخراج داده‌های Keychain و کیف پول‌های ارز دیجیتال (Crypto-wallet) مستقیماً روی دستگاه.
- ارتباط دوطرفه: برقراری ارتباط دوطرفه با زیرساخت فرمان و کنترل (C2) مهاجم.
- بهینه‌سازی استخراج: برخلاف نسخه‌های قدیمی که دیتابیس Keychain را برای پردازش به سرور منتقل می‌کردند، نسخه P7 ابتدا داده‌ها را در قالب JSON روی گوشی استخراج کرده و سپس ارسال می‌کند.
- پنهان‌کاری: حذف لاگ‌های مربوط به دیباگ (Debug logging) در درخواست‌های HTTP و syslog برای شناسایی سخت‌تر.
زنجیره حمله و مکانیسم اجرا
این اکسپلویت کیت با زنجیر کردن چندین آسیب‌پذیری iOS طراحی شده است تا مراحل زیر را طی کند:
- فرار از محیط ایزوله مرورگر (Browser Sandbox).
- ارتقاء سطح دسترسی به سطح هسته (Kernel privileges).
- تزریق Payload اصلی به پردازش SpringBoard (پردازشی که مدیریت اجرای اپلیکیشن‌ها و صفحه اصلی iOS را بر عهده دارد).
عاملان تهدید و مدل توزیع
تحلیل‌ها نشان می‌دهد که این ابزار احتمالاً یک محصول تجاری بوده که به بازار سیاه راه یافته و اکنون توسط عاملان تهدید (Threat Actors) با انگیزه‌های مالی استفاده می‌شود. این کیت در حملاتی علیه کشورهای مختلف از جمله ترکیه، عربستان سعودی و مالزی مشاهده شده است. همچنین گزارش شده که برخی گروه‌های متصل به روسیه مانند Star Blizzard و اپراتورهای چینی از این ابزار برای هدف قرار دادن دستگاه‌های Apple استفاده می‌کنند.
همکاری با ابزار Coruna
گزارش شرکت Censys حاکی از آن است که DarkSword اغلب در کنار ابزار دیگری به نام Coruna استفاده می‌شود. Coruna به عنوان یک Payload مکمل عمل کرده و پس از نفوذ موفق DarkSword، وارد نشست مرورگر قربانی شده تا عبارت‌های بازیابی (Recovery Phrases)، موجودی و داده‌های Keystore کیف پول‌های دیجیتال را سرقت کند.
رفتار C2 و کنترل دستگاه
بدافزار تزریق شده در پردازش SpringBoard، هر ۱۵ ثانیه یک بار برای دریافت دستورات جدید به سرور C2 درخواست می‌فرستد و پیام‌های Heartbeat ارسال می‌کند. این ابزار قادر است لیستی از اپلیکیشن‌های نصب شده، اطلاعات iCloud Keychain و داده‌های برنامه‌هایی نظیر Apple Notes و Photos را به سرقت ببرد.
