资安公司慢雾（SlowMist）最新威胁情报指出，今年 3 月起陆续公开在 GitHub 上的 iOS 漏洞利用链「DarkSword」，已被包装成附带管理后台与加密钱包窃取模组的整套攻击框架，并自 9 月底开始实际上线运作。 慢雾提醒，用 Safari 开启恶意网页就可能触发攻击，曾造访可疑网页的装置应将助记词视为可能已外泄。 （前情提要：iPhone 用户注意！ 新恶意程式「黑剑」袭击，浏览网站数秒就能掏空加密钱包） （背景补充：小心！ 这款巨鲸监控 App「FomoPeek」暗藏漏洞，大量用户金钥失窃） 区块链资安公司慢雾（SlowMist）于台北时间 10 月 19 日晚间 在 X 发布威胁情报，指出 iOS 漏洞利用链 DarkSword 的程式码自今年 3 月公开后，7 月出现名为 DarkSword-PROV2 的 GitHub 专案，相关攻击基础设施则在 9 月下旬被观察到上线。 慢雾追踪了正在运作的攻击伺服器，并将其管理后台与公开 GitHub 程式码库一一对应，认为公开的漏洞元件已被整合成可直接部署的攻击框架，大幅降低发动 iOS 攻击的门槛。 从公开研究到「开箱即用」的攻击套件 DarkSword 最早由 Google 威胁情报小组（GTIG）于 3 月 18 日揭露，该链结合 6 个漏洞，可在 iOS 18. 4 至 18. 7 上完整攻陷装置，并已被多个商业监控业者与疑似国家级骇客使用；Lookout 与 iVerify 同步发表的分析也指出，其窃取目标涵盖大量加密钱包与交易所 App。 据 慢雾完整报告，3 月 21 日至 24 日间 GitHub 上陆续出现 5 个重建 DarkSword 原始码的专案；7 月 19 日出现的 DarkSword-PROV2 则不再是研究性质，而是包含漏洞链、投递伺服器、管理后台、资料库与说明文件的完整套件，说明文件甚至写明完整 PRO 版需透过 Telegram 联系，技术支援收费 5,000 USDT。 慢雾比对后发现，攻击者伺服器上的漏洞档案与公开程式库杂凑值相同，但额外加入了上游版本没有的加密钱包模组，包含 imToken、TokenPocket、TronLink 等钱包的 keystore 解密功能。
- 从公开研究到「开箱即用」的攻击套件 DarkSword 最早由 Google 威胁情报小组（GTIG）于 3 月 18 日揭露，该链结合 6 个漏洞，可在 iOS 18.
- 7 上完整攻陷装置，并已被多个商业监控业者与疑似国家级骇客使用；Lookout 与 iVerify 同步发表的分析也指出，其窃取目标涵盖大量加密钱包与交易所 App。
- 号称支援 iOS 13 起，实际可攻陷版本较窄 慢雾特别厘清，该工具虽宣称支援 iOS 13 以上、内建超过 1,000 笔酬载，但依攻击者自己的路由程式码，能完整执行的版本只有两段：iOS 18.
来源：动区动趋
本文由 GTokenTool 摘编，版权归原作者所有；内容仅供参考，不构成投资建议。