عوامل تهدید (Threat Actors) با طراحی صفحات جعلی پیش‌سفارش برای مدل‌های جدید آیفون، از زنجیره اکسپلویت (Exploit Chain) موسوم به DarkSword برای نفوذ به دستگاه‌های iOS استفاده می‌کنند. این حملات با وعده ارائه ووچرهای تخفیفی ۵۰۰ دلاری و مهلت‌های زمانی جعلی، کاربران را به صفحات فیشینگ هدایت می‌کنند تا در نهایت دسترسی غیرمجاز به دستگاه به دست آورند.
مکانیزم حمله و بهره‌برداری
برخلاف بسیاری از حملات فیشینگ، در این مورد کاربر نیازی به پر کردن فرم، دانلود فایل یا تایید دسترسی ندارد. صرفاً باز کردن صفحه در مرورگر Safari برای شروع فرآیند اکسپلویت کافی است. این صفحه جعلی با تقلید دقیق از طراحی سایت اپل، کاربران را ترغیب می‌کند تا اطلاعات تماس خود را وارد کنند، اما در پس‌زمینه، یک فریم نامرئی نسخه iOS کاربر را بررسی کرده و کد متناسب با آن نسخه را بارگذاری می‌کند.
اگر مرورگر کاربر Safari نباشد، صفحه پیامی مبنی بر “محدودیت مرورگر” نمایش داده و کاربر را مجبور می‌کند لینک را در Safari باز کند، زیرا زنجیره اکسپلویت DarkSword به‌طور خاص برای این مرورگر طراحی شده است.
تحلیل Payload و داده‌های هدف
در صورت موفقیت اکسپلویت، یک Payload مجزا اجرا شده و تلاش می‌کند اطلاعات زیر را سرقت کند:
- کیف پول‌های ارز دیجیتال: جستجو برای اپلیکیشن‌هایی مانند MetaMask، Phantom، Trust Wallet، Coinbase Wallet، Exodus و Tonkeeper.
- اطلاعات حساس: استخراج داده‌های ذخیره شده در Keychain، یادداشت‌های اپل (Apple Notes) و لیست اپلیکیشن‌های نصب شده.
- داده‌های ارتباطی: دسترسی به پیام‌ها، تاریخچه تماس‌ها، مخاطبین، ایمیل‌ها، تقویم و داده‌های کش شده مکان (Location Data).
این بدافزار همچنین قادر است دستورات جدیدی را از سرور فرماندهی و کنترل (C2) دریافت کرده و عملیاتی مانند لیست کردن دایرکتوری‌ها، دریافت عکس‌های با کیفیت و اجرای کدهای JavaScript را انجام دهد. برای پنهان کردن ردپای خود، Payload گزارش‌های تشخیصی (Diagnostic Reports) را حذف می‌کند تا شناسایی حمله توسط تحلیل‌گران دشوار شود.
دستگاه‌های در معرض خطر و توصیه‌های امنیتی
این حمله نسخه‌های قدیمی‌تر iOS را هدف قرار می‌دهد. اگرچه اپل آسیب‌پذیری‌های گزارش شده توسط گوگل در مورد DarkSword را وصل کرده است، اما کاربرانی که به‌روزرسانی‌های سیستم‌عامل را نادیده گرفته‌اند، در معرض خطر شدید هستند.
اقدامات پیشگیرانه و اصلاحی:
- به‌روزرسانی فوری: نصب آخرین نسخه iOS از مسیر Settings > General > Software Update.
- ری‌استارت دستگاه: از آنجایی که این Payload مکانیسم پایداری (Persistence) خودکار پس از ری‌بوت ندارد، ری‌استارت کردن دستگاه پس از به‌روزرسانی توصیه می‌شود.
- امن‌سازی دارایی‌های دیجیتال: در صورت احتمال سرایت (Infection)، توصیه می‌شود از یک دستگاه امن، کیف پول جدیدی با عبارت بازیابی (Recovery Phrase) جدید ایجاد کرده و دارایی‌ها را منتقل کنید.
- تغییر رمز عبور: تغییر رمزهای عبور حساب‌های حساس (ایمیل، Apple ID و بانکی) و فعال‌سازی احراز هویت دو مرحله‌ای (2FA).
شاخص‌های آلودگی (IoCs)
pnmrud[.]cc (سرور C2 و جمع‌آوری داده‌ها)
cloud[.]cmatgldn[.]click (ردیاب کلیک‌های تبلیغاتی)
