网络安全研究人员披露了一个之前未见的 DarkSword iOS 利用工具包变种的详细信息，称为 P7 DarkSword。
“与我们通常观察到的变种相比，P7 减少了其设备上的占用空间，增加了设备上的钥匙串和加密钱包盗窃，并增加了与攻击者基础设施的双向 C2 通信，”iVerify 在周四发布的新报告中表示。
“P7”这个名字是对威胁行为者在对原始 DarkSword 代码所做更改中使用“p7_”变量前缀的致敬。
DarkSword 首次由 Google 威胁情报组 (GTIG)、iVerify 和 Lookout 在今年 3 月公开记录，详细说明了其能够针对运行 iOS 18.4 到 18.7 版本的 iPhone 的能力。该工具包于 2025 年 11 月在野外被检测到。
该工具包旨在链式利用多个 iOS 漏洞以逃避浏览器沙箱，提升到内核权限，并将主要有效载荷注入到 SpringBoard 中，后者是处理应用启动和主屏幕的 iOS 进程。该利用链被评估为一种商业产品，某种程度上进入了二手市场，从那里被财务动机驱动的运营者和其他威胁行为者自 2025 年底以来获取。
该利用工具包已被多个威胁行为者用于针对沙特阿拉伯、土耳其、马来西亚和乌克兰的攻击，包括一家名为 PARS Defense 的土耳其商业监视供应商通过一个假冒的 Snapchat 主题网站，以及一个名为 Star Blizzard（又名 COLDRIVER）的与俄罗斯相关的威胁行为者使用假邀请诱饵。
在 2026 年 8 月，攻击面管理平台 Censys 详细介绍了一项由不明中文威胁行为者发起的活动，该活动涉及使用该利用工具包针对 Apple iOS 设备，并提供了一个 Apple ID 虚假登录页面。
就在上个月，iVerify 表示观察到“多次不成功的、可能是 LLM 辅助的尝试，以更新框架以支持 iOS 26.x”，这受到该利用工具包在公开披露后不久泄露的推动。该移动安全公司补充说，这些变种专注于稳定性、隐蔽性和被盗数据的质量。
P7 DarkSword 在这些方面代表了一种进化，通过消除对 HTTP 请求和 syslog 的调试日志记录，并使用浏览器 localStorage 来防止重新利用。与之前的变种复制并将钥匙串数据库外泄到攻击者基础设施的方式不同，新版本在外泄之前将钥匙串数据提取为手机上的 JSON。
“植入物被注入到 SpringBoard 进程中，该进程处理与攻击者基础设施的所有通信，”iVerify 说。
最新版本能够每 15 秒轮询一次命令，发送“心跳”消息，发送已安装应用程序的列表，并传输 iCloud 钥匙串信息和来自 Apple Notes、Photos 和加密钱包等应用的数据。
对定期任务轮询的响应包含要在受害者手机上执行的命令。这包括 -
execute_command，执行操作系统命令，如 ls、dir、cat、mkdir、rm、echo、ps、memdump、ipconfig、netstat 和 whoami 等
ls，列出目录内容
download，从设备读取文件并将其上传到 C2 服务器
photos，从“/var/mobile/Media/DCIM”上传照片文件
apps，枚举应用容器并提取捆绑 ID
exec，直接在植入运行时中执行任意 JavaScript
file_upload，递归扫描一个或多个路径并上传匹配的文件
basic_info，向 C2 服务器发送设备元数据
disk_scan，递归扫描文件系统，从“/,” 开始，记录文件、目录和符号链接的元数据，并以报告的形式上传信息
ios_app_data，查找请求的捆绑 ID 的应用沙箱和应用组容器并上传选定的应用文件
wallet_scan，扫描已安装的钱包应用
wallet_extract，提取 imToken 钱包应用的相关数据
memo_scan，上传 Apple Notes 数据库
photo_scan，从 Apple Photos 上传照片
sleep，修改信标轮询间隔
exit，停止信标循环并停止植入物
该披露是在 Censys 表示其识别出五个主机上存在与 DarkSword 和 Coruna 相关的组件的开放目录之际，Coruna 是今年发现的另一个 iOS 利用工具包，作为针对运行 iOS 版本在 13.0 到 17.2.1 之间的 iPhone 型号的攻击中的武器化。
“Coruna 是同一生态系统分发的伴随有效载荷工具包，”Censys 说。“它的阶段在 DarkSword 的利用阶段落地后在受害者的浏览器会话中运行，其钱包收集模块从 iOS 应用中窃取加密恢复短语、余额和密钥存储数据。运营者将 DarkSword 和 Coruna 一起运行，以针对他们自己的 C2 基础设施。”
以下是五个主机的列表 -
43.134.165[.]205，提供 DS-Fusion v1.0（又名 DarkSword Fusion），这是一个结合了 DarkSword 和 Coruna 的单一包
166.88.95[.]90，作为植入物的 C2 服务器运行，并记录了两个真实的中国 iOS 设备（183.154.173[.]30 和 182.239.114[.]223）在 2026 年 9 月 6 日每三秒轮询一次信标页面，持续了几个小时
23.148.212[.]237，作为一个分析工作区，显示运营者正在为 iOS 26 开发利用链（例如 CVE-2026-31001），这些并不在 DarkSword 或 Coruna 的覆盖范围内。
47.102.192[.]23，作为 Coruna 工具包的暂存主机
156.239.230[.]120，暴露整个 C2 平台，并在 2026 年 9 月 15 日观察到其轮询一个设备
对生产服务器的利用注册表的分析显示，DarkSword 利用工具包包含两个之前未记录的 CVE 标识符 -
CVE-2025-24201，WebKit 引擎中的越界写入漏洞，可能允许攻击者突破 Web 内容沙箱（在 iOS 18.3.2 和 iPadOS 18.3.2 中修复）
CVE-2025-31200，内存损坏漏洞