DarkSword: Nuovo Kit di Exploit iOS Rubrica Danni a Wallet Crypto e Dati Sensibili

DarkSword - Un Kit di Sfruttamento iOS e Framework di Distribuzione

DarkSword rappresenta una sofisticata suite di strumenti per l'attacco a dispositivi iOS, configurata come un kit di sfruttamento e un framework di distribuzione. L'obiettivo primario è la compromissione di dispositivi con versioni di iOS comprese tra la 18.4 e la 18.7, con un focus sulla raccolta di informazioni sensibili, inclusi dati provenienti da applicazioni di portafogli di criptovalute. L'attività è stata osservata a partire da novembre 2025 ed è collegata a diversi attori, tra cui UNC6353, sospettato di avere legami con la Russia e precedentemente associato alla catena di sfruttamento Coruna.

Componenti e Funzionamento

L'analisi condotta da Lookout, Google Threat Intelligence Group (GTIG) e iVerify ha rivelato che DarkSword sfrutta una serie di vulnerabilità note e documentate, tutte di cui Apple ha già rilasciato correzioni nelle versioni più recenti di iOS. Le vulnerabilità specifiche identificate sono:

• CVE-2025-31277
• CVE-2025-43529
• CVE-2026-20700
• CVE-2025-14174
• CVE-2025-43510
• CVE-2025-43520

Il processo di attacco inizia attraverso il browser Safari, dove una serie di exploit vengono utilizzati per ottenere l'accesso in lettura e scrittura del kernel. Questo permette l'esecuzione di codice tramite un componente orchestratore principale (pe_main.js). Successivamente, il componente orchestratore inietta un motore JavaScript in servizi iOS privilegiati, come App Access, Wi-Fi, Springboard, Keychain e iCloud. Questo consente l'attivazione di moduli di raccolta dati, tra cui:

• GHOSTBLADE: Un dataminer in JavaScript che estrae un'ampia gamma di informazioni, tra cui dati di portafogli di criptovalute, informazioni di sistema e connettività, cronologia del browser, foto, dati di localizzazione, comunicazioni da iMessage, Telegram, WhatsApp, email, chiamate e contatti.
• GHOSTKNIFE: Un backdoor in grado di esfiltrare diversi tipi di dati, tra cui account salvati, messaggi, dati del browser, cronologia della posizione, registrazioni.
• GHOSTSABER: Un backdoor in JavaScript che può enumerare dispositivi e account, elencare file, eseguire codice JavaScript e rubare dati.

Tecniche di Offuscamento e OPSEC

Alcune campagne che utilizzano DarkSword, in particolare quelle associate a PARS Defense, hanno dimostrato un maggiore livello di attenzione alla sicurezza operativa (OPSEC), con l'applicazione di tecniche di offuscamento al loader degli exploit e ad alcune delle fasi di sfruttamento. Vengono utilizzate crittografie ECDH e AES per proteggere gli exploit durante la trasmissione tra il server e la vittima.

Utilizzo di LLM e Sviluppo Estensibile

Le analisi di Lookout suggeriscono che sia Coruna che DarkSword presentano segni di utilizzo di modelli linguistici di grandi dimensioni (LLM) per l'espansione del codice. La presenza di commenti esplicativi nel codice di DarkSword indica un'attenzione particolare alla manutenibilità, allo sviluppo a lungo termine e all'estensibilità della piattaforma.

Dati Esfiltrati

L'elenco dei dati esfiltrati da DarkSword è esteso e include:

• Password salvate
• Foto, inclusi screenshot e file immagine nascosti
• Database di WhatsApp e Telegram
• Portafogli di criptovalute (Coinbase, Binance, Ledger, ecc.)
• Messaggi SMS
• Rubrica
• Cronologia delle chiamate
• Cronologia della posizione
• Cronologia del browser
• Cookie
• Cronologia Wi-Fi e password
• Dati Apple Health
• Calendario
• Note
• Applicazioni installate
• Account connessi

Un aspetto degno di nota è che DarkSword cancella i file temporanei e termina l'esecuzione dopo l'esfiltrazione dei dati, suggerendo che non è progettato per operazioni di sorveglianza a lungo termine.

Raccomandazioni e Mitigazione

Si raccomanda vivamente agli utenti di iPhone di aggiornare il proprio dispositivo all'ultima versione di iOS (attualmente iOS 26.3.1) e di abilitare la funzione [Lockdown Mode](https://www.bleepingcomputer.com/news/apple/apple-s-new-lockdown-mode-defends-against-government-spyware/) se si è ad alto rischio di essere presi di mira da malware. Per i dispositivi che non possono essere aggiornati, Apple potrebbe retroportare le correzioni, come ha fatto in precedenza con gli exploit Coruna, ma tale possibilità non è stata ancora confermata.

Dati, Trend Correlati, Impatto sul Settore

L'emergere di "DarkSword", un nuovo exploit kit per dispositivi iOS, rappresenta un'evoluzione significativa nel panorama delle minacce informatiche, con implicazioni rilevanti per la sicurezza dei dati e la fiducia degli utenti. Questo framework, associato a diversi attori, tra cui il gruppo UNC6353, sospettato di avere legami con la Russia, sfrutta una catena di exploit precedentemente identificata come "Coruna" (Coruna exploit chain).

Le ricerche condotte da Lookout (Lookout discovery) e supportate dalla collaborazione di Google Threat Intelligence Group e iVerify, hanno rivelato che le vulnerabilità sfruttate da DarkSword (CVE-2025-31277, CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520) sono note e, in parte, già corrette nelle versioni più recenti di iOS. Tuttavia, la persistente capacità di sfruttare queste vulnerabilità, anche dopo la loro identificazione, sottolinea la necessità di un'applicazione tempestiva degli aggiornamenti di sicurezza.

Impatto e Trend Correlati:

• Furto di Dati Sensibili: DarkSword è in grado di estrarre una vasta gamma di informazioni personali, inclusi dati relativi a portafogli di criptovalute, cronologia di navigazione, messaggi (iMessage, Telegram, WhatsApp, email), contatti, dati di localizzazione e molto altro.
• Attacchi Mirati: L'utilizzo di DarkSword è stato osservato in attacchi mirati a utenti in Arabia Saudita, Turchia e Malesia, suggerendo una capacità di personalizzazione e adattamento delle campagne di attacco.
• Coinvolgimento di Attori Statali: L'associazione con UNC6353 e PARS Defense, un fornitore turco di sorveglianza commerciale, indica un possibile coinvolgimento di attori statali o sponsorizzati da essi.
• Utilizzo di LLM (Large Language Models): L'analisi del codice di DarkSword suggerisce l'utilizzo di modelli linguistici di grandi dimensioni per accelerare lo sviluppo e la manutenzione del malware, un trend crescente nel panorama delle minacce.
• Tecniche di Offuscamento: L'impiego di tecniche di offuscamento, come l'uso di ECDH e AES per crittografare gli exploit, dimostra un'attenzione alla sicurezza operativa (OPSEC) da parte degli attaccanti.
• Delivery Chain Complessa: L'attacco si avvia attraverso il browser Safari, sfruttando diverse vulnerabilità per ottenere privilegi di sistema e iniettare moduli di estrazione dati, evidenziando la sofisticazione della catena di attacco.

L'utilizzo di DarkSword, insieme alla catena di exploit Coruna, segnala un'evoluzione nella sofisticazione degli attacchi informatici, con un focus crescente sulla raccolta di informazioni sensibili e sulla capacità di adattarsi alle contromisure di sicurezza. La rapida evoluzione di questi strumenti, supportata dall'utilizzo di tecnologie avanzate come i modelli linguistici di grandi dimensioni, richiede un approccio proattivo e continuo all'aggiornamento delle difese informatiche.

Si raccomanda vivamente agli utenti di iPhone di aggiornare il sistema operativo all'ultima versione disponibile (attualmente iOS 26.3.1) e, per coloro che sono a rischio elevato, di attivare la funzionalità "Lockdown Mode" (Lockdown Mode).

Consigli pratici per l'utente/investitore

Un nuovo kit di exploit per dispositivi iOS, denominato "DarkSword", è stato recentemente individuato e utilizzato per compromettere la sicurezza di iPhone e rubare una vasta gamma di informazioni personali, inclusi dati relativi a portafogli di criptovalute. Questo kit sfrutta una catena di exploit precedentemente nota come "Coruna" e presenta caratteristiche di sofisticazione che meritano un'attenta analisi.

Caratteristiche Tecniche e Vulnerabilità Sfruttate

DarkSword prende di mira dispositivi iOS con versioni del sistema operativo comprese tra la 18.4 e la 18.7. L'analisi tecnica ha rivelato che l'exploit kit sfrutta una serie di vulnerabilità note e documentate, che Apple ha già corretto nelle versioni più recenti di iOS. In particolare, sono state identificate le seguenti vulnerabilità, tracciate tramite i codici CVE: CVE-2025-31277, CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520. L'utilizzo di queste vulnerabilità consente di eludere le protezioni standard del sistema operativo e ottenere privilegi elevati.

Attività Malevole e Attori Coinvolti

L'attività malevola associata a DarkSword è iniziata almeno a novembre 2025 e coinvolge diverse famiglie di malware: GHOSTBLADE (un dataminer che ruba informazioni, inclusi dati di portafogli di criptovalute), GHOSTKNIFE (un backdoor per l'esfiltrazione di dati) e GHOSTSABER (un backdoor JavaScript per l'enumerazione di dispositivi e account). Sono stati identificati diversi attori coinvolti, tra cui UNC6748 (che ha utilizzato DarkSword per attaccare utenti sauditi tramite siti web contraffatti) e PARS Defense (un'azienda turca di sorveglianza commerciale). Si sospetta che UNC6353, un attore di spionaggio russo, stia utilizzando DarkSword per colpire obiettivi ucraini.

Tecniche di Offuscamento e Sviluppo

Gli analisti hanno notato che lo sviluppo di DarkSword mostra l'utilizzo di modelli linguistici di grandi dimensioni (LLM), suggerendo un approccio professionale e orientato alla manutenzione e all'estensibilità del malware. L'attenzione al dettaglio e l'uso di tecniche di offuscamento indicano un tentativo di eludere i sistemi di rilevamento e rendere più difficile l'analisi del malware.

Consigli Pratici per Utenti e Investitori

• Aggiornamento del Sistema Operativo: La misura preventiva più importante è aggiornare immediatamente il dispositivo iOS all'ultima versione disponibile (attualmente iOS 26.3.1). Gli aggiornamenti di sistema spesso includono patch di sicurezza che correggono le vulnerabilità sfruttate da DarkSword.
• Abilitazione di Lockdown Mode: Per utenti particolarmente esposti a rischi di targeting malevolo, si raccomanda di attivare la funzione "Lockdown Mode", disponibile nelle impostazioni di iOS. Questa modalità rafforza le protezioni del dispositivo, limitando alcune funzionalità e riducendo la superficie di attacco.
• Cautela con i Siti Web: Prestare particolare attenzione ai siti web visitati, evitando quelli sospetti o non attendibili. I siti web compromessi possono essere utilizzati per distribuire DarkSword o altri malware.
• Monitoraggio delle Applicazioni: Verificare regolarmente le applicazioni installate sul dispositivo e rimuovere quelle non utilizzate o provenienti da fonti sconosciute.
• Sicurezza delle Criptovalute: Adottare misure di sicurezza aggiuntive per proteggere i portafogli di criptovalute, come l'utilizzo di autenticazione a due fattori e la conservazione delle chiavi private in modo sicuro.

Considerazioni per gli Investitori

Gli investitori nel settore della sicurezza informatica dovrebbero monitorare attentamente l'evoluzione di minacce come DarkSword, che evidenziano la crescente sofisticazione degli attacchi informatici. La capacità di adattamento e l'innovazione nel campo della cybersecurity sono fondamentali per proteggere le aziende e gli individui da queste minacce.

Anche se i dispositivi più datati potrebbero ricevere patch di sicurezza retroattive, come è accaduto con gli exploit Coruna, non è garantito. Pertanto, la sostituzione di dispositivi obsoleti con modelli più recenti e supportati rimane una strategia prudente.

Previsione Futura Netta Basata sui Fatti

L'emergere di DarkSword, un kit di exploit per dispositivi iOS, rappresenta un'escalation significativa nel panorama delle minacce informatiche mobile. L'analisi dei fatti disponibili, corroborata da fonti autorevoli come Google Threat Intelligence Group e Lookout, permette di formulare una previsione futura prudente ma precisa.

Innanzitutto, è ragionevole aspettarsi una proliferazione dell'utilizzo di DarkSword da parte di attori malevoli. La sua architettura modulare, facilitata dall'apparente impiego di modelli linguistici di grandi dimensioni (LLM) per lo sviluppo, ne consente una rapida adattabilità e l'aggiunta di nuove funzionalità. Questo implica che la sua diffusione non sarà un fenomeno transitorio.

In secondo luogo, la segmentazione degli attori che sfruttano DarkSword suggerisce una diversificazione degli obiettivi. L'associazione con UNC6353, sospettato di agire per conto dell'intelligence russa, indica un interesse per la raccolta di informazioni strategiche e di intelligence. L'utilizzo da parte di aziende come PARS Defense, specializzata in sorveglianza commerciale, evidenzia un potenziale impiego per scopi di spionaggio industriale e monitoraggio di individui specifici. L'attività di UNC6748, inizialmente focalizzata su utenti sauditi, dimostra la capacità di adattare le tattiche per colpire diverse aree geografiche.

Terzo, la vulnerabilità intrinseca dei dispositivi iOS rimane una preoccupazione. Sebbene Apple abbia rilasciato patch per le vulnerabilità sfruttate da DarkSword, la presenza di dispositivi ancora esposti, in particolare quelli con versioni di iOS obsolete, rappresenta un vettore di attacco continuo. La possibilità di "backporting" delle correzioni su dispositivi meno recenti, come precedentemente accaduto con Coruna, non elimina completamente il rischio.

Infine, è probabile che si assista a un'evoluzione delle tecniche di offuscamento e di compromissione dei siti web, per eludere i sistemi di rilevamento e mantenere la persistenza delle campagne di attacco. L'attenzione al OPSEC (Operational Security) dimostrata in alcune campagne, come quella in Turchia, suggerisce una crescente sofisticazione degli aggressori.

la minaccia rappresentata da DarkSword è reale, persistente e in continua evoluzione. La mitigazione del rischio richiede un approccio proattivo, che includa l'aggiornamento tempestivo dei sistemi operativi, l'adozione di misure di sicurezza avanzate come Lockdown Mode e una costante vigilanza nei confronti di potenziali attacchi di phishing e compromissione di siti web.

• Aggiornamento iOS: Mantenere i dispositivi aggiornati alla versione più recente di iOS.
• Lockdown Mode: Abilitare Lockdown Mode per utenti ad alto rischio.
• Consapevolezza: Prestare attenzione a siti web sospetti e link inattesi.