Eine neu entdeckte Variante des iOS-Exploit-Kits DarkSword, genannt P7 DarkSword, stellt eine signifikante Eskalation der Bedrohungslage für iPhone-Nutzer dar. Die aktuelle Version wurde gezielt optimiert, um Krypto-Wallets zu plündern und sensible iCloud-Schlüsselbunddaten abzugreifen – und das mit einem deutlich reduzierten digitalen Fußabdruck auf dem angegriffenen Gerät.
P7 DarkSword: Eine neue Generation der iOS-Ausbeutung
Forscher von iVerify haben die Details der Weiterentwicklung offengelegt. Der Name „P7″ leitet sich von der Variable „p7_“ ab, die der Angreifer im modifizierten Code einführte. Das ursprüngliche DarkSword-Kit wurde erstmals im März 2026 von Google Threat Intelligence, iVerify und Lookout dokumentiert. Es nutzt eine Kette von iOS-Sicherheitslücken, um den Browser-Sandbox zu durchbrechen, Kernel-Privilegien zu erlangen und die Hauptnutzlast in den SpringBoard-Prozess einzuschleusen – die zentrale Steuerung für App-Starts und den Homescreen.
Im Gegensatz zu früheren Versionen verzichtet P7 DarkSword auf Debug-Logging über HTTP und Syslog. Stattdessen setzt es auf den Browser-LocalStorage, um eine erneute Ausbeutung desselben Geräts zu verhindern. Der größte Unterschied: Die Schlüsselbunddaten werden nicht mehr als Rohdatenbank an die Angreifer-Infrastruktur gesendet, sondern auf dem Telefon selbst in ein JSON-Format konvertiert und dann exfiltriert. Der Schadcode, der in SpringBoard läuft, kommuniziert im Zwei-Wege-Modus mit dem C2-Server (Command & Control).
Befehlsgewalt auf dem Zielgerät
Die implantierte Nutzlast pollt alle 15 Sekunden nach neuen Anweisungen. Der Angreifer kann über eine breite Palette von Kommandos verfügen, darunter:
- execute_command: Ausführung von Betriebssystembefehlen wie ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat und whoami
- download: Auslesen und Hochladen beliebiger Dateien auf den C2-Server
- photos: Abgriff von Fotos aus dem Pfad /var/mobile/Media/DCIM
- apps: Auflistung installierter App-Container mit Bundle-IDs
- exec: Ausführung beliebigen JavaScript-Codes direkt im Implant-Runtime
- wallet_scan / wallet_extract: gezieltes Scannen nach installierten Wallet-Apps und Extrahieren von Daten der imToken-App
- memo_scan / photo_scan: Upload von Apple-Notes-Datenbanken und Apple-Photos-Inhalten
- disk_scan: vollständige Dateisystem-Scans ab Stammverzeichnis
- sleep / exit: Steuerung der Beacon-Intervalle und Beendigung des Implants
Verbreitung über verlassenes Analyse-Domain
Ein besonders perfider Infektionsweg wurde von Sicherheitsforscher Scott Helme (Report URI) beschrieben: Angreifer registrierten die abgelaufene Domain „ecomtrack[.]io“ eines eingestellten tschechischen E-Commerce-Analytics-Startups neu. Viele Online-Shops hatten noch immer Tracking-Tags dieser Domain eingebunden. Die bösartige JavaScript-Datei auf der Domain enthält Tarnmechanismen gegen Crawler und Bots, sammelt Geräte- und Browserdaten und leitet Besucher entweder auf Scam-Seiten oder – in einem dokumentierten Fall – auf die volle iOS-Exploit-Kette von DarkSword weiter. Die dort ausgelieferte Implant-Version (v24) kommuniziert mit dem Server mertio.cc und zielt auf über 25 verschiedene Krypto-Wallet-Apps ab.
Bedrohungsakteure und geografische Ziel
Das ursprüngliche Exploit-Kit wurde Berichten zufolge in Saudi-Arabien, der Türkei, Malaysia und der Ukraine eingesetzt. Beteiligt waren unter anderem der türkische komerzielle Überwachungsanbieter PARS Defense über eine gefälschte Snapchat-Seite sowie der Russland-nhe Akteur Star Blizzard (aka COLDRIVER). Seit dem Leck des Kits nach der öffentlichen Dokumentation haben mehrere finanziell motivierte Gruppen Versionen für iOS 26.x entwikel – viele davon offenbar mit Unterstützung großer Sprachmodelle, wenn auch oft fehlerhaft.
DarkCoruna: Wenn zwei Kits verschmelzen
iVerify beobachtete zudem seltene Fälle, in denen DarkSword und das separate Coruna-Exploit-Kit in einem Bundle namens „DarkCoruna“ zusammengeführt wurden. Die Angreifter hatten offenbar Zugriff auf den Quellcode von Coruna und führten umfangreiche Codeänderungen durch – ein Zeichen für die wachsende Professionalisierung der Szene. Während viele dieser gebündelten Vrsionen als nicht funktionierende „AI-Slop“ gelten, zeigt die Exitsenz von funkionierenden DarkCoruna-Varianten, dass die Hürde für den Zugriff auf die Exploit-Technologie sinkt.
Offene Verzeichnisse und neue CVEs
Censys identifzierte fünf Hosts mit offenen Verzeichnissen, die Komponenten von DarkSword und Coruna hosten. Auf dem Server 156.239.230[.]120 fand sich die vollständige C2-Plattform eines chinesisch-sprachigen Akteurs, der ein „Exploit-as-a-Service“-Modell betreibt. Das Admin-Panel offenbarte ein Agenten-/Reseller-Modell, 11 wiederhergestellte Wallet-Wiederherstellungsphrasen, 179 Geräte-Beute-Verzeichnisse und 75 Konten im Kontrollsystem. Zusätzlich wurden zwei bisher nicht dokumentierte CVE-Identifikatoren in der Produktionsumgebung entdeckt: CVE-2025-24201 (WebKit-Sandbox-Escape) und CVE-2025-31200 (Core-Audio-Speicherfehler), beide von Apple in iOS 18.3.2 bzw. 18.4.1 geschlossen.
Ein weiterer chinesischer Betreiber nutzt das selbe Kit mit eegenem C2-Server (66ds[.]lol) und erweiterte es um das Wallet Ziell BitKeep. Die Betreiber sind über ein eindeutiges selbst-signiertes Zertifikat mit Tencent- und Shenyang-Hosting verbunden.
Schutz und Ausblick
P7 DarkSword demonstriert, wie schnell kommerzielle Exploit-Kits nach einem Leck in die Hände immer neuer, finanziell motivierter Gruppen gelangen. iPhone-Nutzer sollten die neuesten iOS-Updates umgehend installieren, insbesondere die Versionen 18.3.2 und 18.4.1 sowie alle folgenden Sicherheitsupdates. Besondere Vorsicht ist bei unerwarteten Nachrichten mit Links, gefälschten Snapchat-Seiten und Tracking-Domains geboten, die nicht mehr von vertrauenswürdigen Analyse-Diensten betrieben werden. Die Szene arbeitet daran, die Kits für immer neuere iOS-Versionen anzupassen – der Wettlauf zwischen Sicherheitsupdates und Exploit-Entwicklern wird sich weiter verschärfen.
