{"id":55456,"date":"2026-10-11T13:42:46","date_gmt":"2026-10-11T11:42:46","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=55456"},"modified":"2026-10-11T13:42:46","modified_gmt":"2026-10-11T11:42:46","slug":"p7-darksword-ios-exploit-55456","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/p7-darksword-ios-exploit-55456\/","title":{"rendered":"P7 DarkSword exploptiert iPhones und stiehlt Krypto-Wallets"},"content":{"rendered":"<p>Eine neu entdeckte Variante des iOS-Exploit-Kits DarkSword, genannt <strong>P7 DarkSword<\/strong>, stellt eine signifikante Eskalation der Bedrohungslage f\u00fcr iPhone-Nutzer dar. Die aktuelle Version wurde gezielt optimiert, um Krypto-Wallets zu pl\u00fcndern und sensible iCloud-Schl\u00fcsselbunddaten abzugreifen \u2013 und das mit einem deutlich reduzierten digitalen Fu\u00dfabdruck auf dem angegriffenen Ger\u00e4t.<\/p>\n<h2>P7 DarkSword: Eine neue Generation der iOS-Ausbeutung<\/h2>\n<p>Forscher von <a href=\"https:\/\/www.iverify.io\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">iVerify<\/a> haben die Details der Weiterentwicklung offengelegt. Der Name \u201eP7&#8243; leitet sich von der Variable \u201ep7_&#8220; ab, die der Angreifer im modifizierten Code einf\u00fchrte. Das urspr\u00fcngliche DarkSword-Kit wurde erstmals im M\u00e4rz 2026 von Google Threat Intelligence, iVerify und Lookout dokumentiert. Es nutzt eine Kette von iOS-Sicherheitsl\u00fccken, um den Browser-Sandbox zu durchbrechen, Kernel-Privilegien zu erlangen und die Hauptnutzlast in den SpringBoard-Prozess einzuschleusen \u2013 die zentrale Steuerung f\u00fcr App-Starts und den Homescreen.<\/p>\n<p>Im Gegensatz zu fr\u00fcheren Versionen verzichtet P7 DarkSword auf Debug-Logging \u00fcber HTTP und Syslog. Stattdessen setzt es auf den Browser-LocalStorage, um eine erneute Ausbeutung desselben Ger\u00e4ts zu verhindern. Der gr\u00f6\u00dfte Unterschied: Die Schl\u00fcsselbunddaten werden nicht mehr als Rohdatenbank an die Angreifer-Infrastruktur gesendet, sondern auf dem Telefon selbst in ein JSON-Format konvertiert und dann exfiltriert. Der Schadcode, der in SpringBoard l\u00e4uft, kommuniziert im Zwei-Wege-Modus mit dem C2-Server (Command &amp; Control).<\/p>\n<h3>Befehlsgewalt auf dem Zielger\u00e4t<\/h3>\n<p>Die implantierte Nutzlast pollt alle 15 Sekunden nach neuen Anweisungen. Der Angreifer kann \u00fcber eine breite Palette von Kommandos verf\u00fcgen, darunter:<\/p>\n<ul>\n<li><strong>execute_command<\/strong>: Ausf\u00fchrung von Betriebssystembefehlen wie <em>ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat<\/em> und <em>whoami<\/em><\/li>\n<li><strong>download<\/strong>: Auslesen und Hochladen beliebiger Dateien auf den C2-Server<\/li>\n<li><strong>photos<\/strong>: Abgriff von Fotos aus dem Pfad <em>\/var\/mobile\/Media\/DCIM<\/em><\/li>\n<li><strong>apps<\/strong>: Auflistung installierter App-Container mit Bundle-IDs<\/li>\n<li><strong>exec<\/strong>: Ausf\u00fchrung beliebigen JavaScript-Codes direkt im Implant-Runtime<\/li>\n<li><strong>wallet_scan<\/strong> \/ <strong>wallet_extract<\/strong>: gezieltes Scannen nach installierten Wallet-Apps und Extrahieren von Daten der imToken-App<\/li>\n<li><strong>memo_scan<\/strong> \/ <strong>photo_scan<\/strong>: Upload von Apple-Notes-Datenbanken und Apple-Photos-Inhalten<\/li>\n<li><strong>disk_scan<\/strong>: vollst\u00e4ndige Dateisystem-Scans ab Stammverzeichnis<\/li>\n<li><strong>sleep<\/strong> \/ <strong>exit<\/strong>: Steuerung der Beacon-Intervalle und Beendigung des Implants<\/li>\n<\/ul>\n<h2>Verbreitung \u00fcber verlassenes Analyse-Domain<\/h2>\n<p>Ein besonders perfider Infektionsweg wurde von Sicherheitsforscher Scott Helme (Report URI) beschrieben: Angreifer registrierten die abgelaufene Domain \u201eecomtrack[.]io&#8220; eines eingestellten tschechischen E-Commerce-Analytics-Startups neu. Viele Online-Shops hatten noch immer Tracking-Tags dieser Domain eingebunden. Die b\u00f6sartige JavaScript-Datei auf der Domain enth\u00e4lt Tarnmechanismen gegen Crawler und Bots, sammelt Ger\u00e4te- und Browserdaten und leitet Besucher entweder auf Scam-Seiten oder \u2013 in einem dokumentierten Fall \u2013 auf die volle iOS-Exploit-Kette von DarkSword weiter. Die dort ausgelieferte Implant-Version (v24) kommuniziert mit dem Server <em>mertio.cc<\/em> und zielt auf \u00fcber 25 verschiedene Krypto-Wallet-Apps ab.<\/p>\n<h2>Bedrohungsakteure und geografische Ziel<\/h2>\n<p>Das urspr\u00fcngliche Exploit-Kit wurde Berichten zufolge in Saudi-Arabien, der T\u00fcrkei, Malaysia und der Ukraine eingesetzt. Beteiligt waren unter anderem der t\u00fcrkische komerzielle \u00dcberwachungsanbieter PARS Defense \u00fcber eine gef\u00e4lschte Snapchat-Seite sowie der Russland-nhe Akteur Star Blizzard (aka COLDRIVER). Seit dem Leck des Kits nach der \u00f6ffentlichen Dokumentation haben mehrere finanziell motivierte Gruppen Versionen f\u00fcr iOS 26.x entwikel \u2013 viele davon offenbar mit Unterst\u00fctzung gro\u00dfer Sprachmodelle, wenn auch oft fehlerhaft.<\/p>\n<h3>DarkCoruna: Wenn zwei Kits verschmelzen<\/h3>\n<p>iVerify beobachtete zudem seltene F\u00e4lle, in denen DarkSword und das separate Coruna-Exploit-Kit in einem Bundle namens \u201eDarkCoruna&#8220; zusammengef\u00fchrt wurden. Die Angreifter hatten offenbar Zugriff auf den Quellcode von Coruna und f\u00fchrten umfangreiche Code\u00e4nderungen durch \u2013 ein Zeichen f\u00fcr die wachsende Professionalisierung der Szene. W\u00e4hrend viele dieser geb\u00fcndelten Vrsionen als nicht funktionierende \u201eAI-Slop&#8220; gelten, zeigt die Exitsenz von funkionierenden DarkCoruna-Varianten, dass die H\u00fcrde f\u00fcr den Zugriff auf die Exploit-Technologie sinkt.<\/p>\n<h2>Offene Verzeichnisse und neue CVEs<\/h2>\n<p><a href=\"https:\/\/censys.io\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Censys<\/a> identifzierte f\u00fcnf Hosts mit offenen Verzeichnissen, die Komponenten von DarkSword und Coruna hosten. Auf dem Server <em>156.239.230[.]120<\/em> fand sich die vollst\u00e4ndige C2-Plattform eines chinesisch-sprachigen Akteurs, der ein \u201eExploit-as-a-Service&#8220;-Modell betreibt. Das Admin-Panel offenbarte ein Agenten-\/Reseller-Modell, 11 wiederhergestellte Wallet-Wiederherstellungsphrasen, 179 Ger\u00e4te-Beute-Verzeichnisse und 75 Konten im Kontrollsystem. Zus\u00e4tzlich wurden zwei bisher nicht dokumentierte CVE-Identifikatoren in der Produktionsumgebung entdeckt: <strong>CVE-2025-24201<\/strong> (WebKit-Sandbox-Escape) und <strong>CVE-2025-31200<\/strong> (Core-Audio-Speicherfehler), beide von Apple in iOS 18.3.2 bzw. 18.4.1 geschlossen.<\/p>\n<p>Ein weiterer chinesischer Betreiber nutzt das selbe Kit mit eegenem C2-Server (<em>66ds[.]lol<\/em>) und erweiterte es um das Wallet Ziell BitKeep. Die Betreiber sind \u00fcber ein eindeutiges selbst-signiertes Zertifikat mit Tencent- und Shenyang-Hosting verbunden.<\/p>\n<h2>Schutz und Ausblick<\/h2>\n<p>P7 DarkSword demonstriert, wie schnell kommerzielle Exploit-Kits nach einem Leck in die H\u00e4nde immer neuer, finanziell motivierter Gruppen gelangen. iPhone-Nutzer sollten die neuesten iOS-Updates umgehend installieren, insbesondere die Versionen 18.3.2 und 18.4.1 sowie alle folgenden Sicherheitsupdates. Besondere Vorsicht ist bei unerwarteten Nachrichten mit Links, gef\u00e4lschten Snapchat-Seiten und Tracking-Domains geboten, die nicht mehr von vertrauensw\u00fcrdigen Analyse-Diensten betrieben werden. Die Szene arbeitet daran, die Kits f\u00fcr immer neuere iOS-Versionen anzupassen \u2013 der Wettlauf zwischen Sicherheitsupdates und Exploit-Entwicklern wird sich weiter versch\u00e4rfen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine neu entdeckte Variante des iOS-Exploit-Kits DarkSword, genannt P7 DarkSword, stellt eine signifikante Eskalation der Bedrohungslage f\u00fcr iPhone-Nutzer dar. Die aktuelle Version wurde gezielt optimiert, um Krypto-Wallets zu pl\u00fcndern und sensible iCloud-Schl\u00fcsselbunddaten abzugreifen \u2013 und das mit einem deutlich reduzierten digitalen Fu\u00dfabdruck auf dem angegriffenen Ger\u00e4t. P7 DarkSword: Eine neue Generation der iOS-Ausbeutung Forscher von [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":55458,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55456.png","fifu_image_alt":"P7 DarkSword exploptiert iPhones und stiehlt Krypto-Wallets","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-55456","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55456.png","fifu_image_alt":"P7 DarkSword exploptiert iPhones und stiehlt Krypto-Wallets","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55456","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55456"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55456\/revisions"}],"predecessor-version":[{"id":55457,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55456\/revisions\/55457"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55458"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55456"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55456"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55456"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}