I ricercatori di iVerify hanno individuato P7 DarkSword, una variante finora non documentata del kit di exploit iOS DarkSword. Il nuovo codice riduce le tracce lasciate sul dispositivo, può raccogliere dati dal Portachiavi iCloud e dai wallet di criptovalute e introduce una comunicazione bidirezionale con l’infrastruttura degli attaccanti.
Non si tratta di una nuova funzione di iOS né di un attacco attribuito con certezza a un singolo gruppo: il kit, secondo le analisi citate da The Hacker News, circola nell’ecosistema criminale e sarebbe stato impiegato da più attori. La novità di P7 riguarda soprattutto ciò che può fare dopo la compromissione dell’iPhone.
Che cosa cambia con P7 DarkSword
DarkSword è un kit progettato per concatenare vulnerabilità di iOS, uscire dalla sandbox del browser, ottenere privilegi sul kernel e inserire il proprio impianto nel processo SpringBoard, quello che gestisce schermata Home e avvio delle app.
La variante P7 elimina i log di debug inviati tramite richieste HTTP e syslog, una scelta che può rendere l’attività meno visibile. Usa inoltre il localStorage del browser per evitare di sfruttare di nuovo lo stesso dispositivo e trasforma i dati del Portachiavi in JSON direttamente sull’iPhone prima dell’esfiltrazione.
In pratica, la componente malevola installata in SpringBoard gestisce le comunicazioni con il server di comando e controllo. Il report di iVerify descrive un sistema che contatta periodicamente tale server, invia un segnale di attività e può trasmettere l’elenco delle app installate, informazioni dal Portachiavi iCloud e dati provenienti da Apple Notes, Foto e wallet di criptovalute.
I comandi che può ricevere l’iPhone compromesso
La novità più rilevante è la comunicazione in due direzioni. P7 può ricevere istruzioni da eseguire sul telefono: fra queste figurano l’elenco di directory, la lettura e il caricamento di file, la raccolta delle foto, la scansione del disco e l’inventario dei contenitori delle app.
Il codice analizzato include anche funzioni per cercare wallet installati, estrarre dati collegati a imToken, caricare database di Apple Notes e acquisire file selezionati dalle app richieste. Sono presenti inoltre comandi per modificare la frequenza dei contatti con il server o interrompere l’impianto.
Queste capacità non descrivono un comportamento normale di iOS: diventano possibili soltanto dopo che la catena di exploit ha aggirato le protezioni del sistema. Proprio per questo, l’elemento centrale non è una singola app presa di mira, ma la compromissione iniziale del dispositivo.
Una diffusione frammentata tra più operatori
DarkSword era stato documentato pubblicamente a marzo da Google Threat Intelligence Group, iVerify e Lookout. Le analisi precedenti avevano indicato attacchi contro iPhone con versioni di iOS comprese tra iOS 18.4 e iOS 18.7, con campagne osservate in Arabia Saudita, Turchia, Malesia e Ucraina.
Il report riporta anche casi in cui DarkSword e Coruna, un altro kit di exploit per iOS, sarebbero stati riuniti nello stesso pacchetto. iVerify chiama questa combinazione DarkCoruna, ma segnala che molte varianti circolanti risultano tentativi non funzionanti, talvolta assistiti da strumenti di IA, basati su codice trapelato.
Un’altra pista riguarda il dominio ecomtrack[.]io, ri-registrato il 15 settembre 2026 dopo la scadenza. Secondo Report URI, gli autori avrebbero sfruttato vecchi tag di tracciamento ancora presenti su siti di e-commerce per distribuire JavaScript malevolo, reindirizzare i visitatori e, in un caso, fornire la catena di exploit DarkSword attraverso una falsa piattaforma di trading.
Le vulnerabilità citate e gli aggiornamenti
Censys ha individuato directory aperte su cinque host con componenti collegati a DarkSword e Coruna e ha descritto una possibile attività di sfruttamento orientata al furto di criptovalute. L’attribuzione resta però incompleta: l’operatore esatto dietro la piattaforma non è noto.
Tra i riferimenti emersi dal registro degli exploit figurano CVE-2025-24201, una vulnerabilità WebKit corretta in iOS e iPadOS 18.3.2, e CVE-2025-31200, un problema di corruzione della memoria in Core Audio corretto in iOS e iPadOS 18.4.1. La presenza di questi identificativi non basta da sola a definire l’intera catena usata da P7, ma conferma quanto gli aggiornamenti del sistema restino una parte concreta della difesa contro exploit di questo tipo.
FAQ
P7 DarkSword colpisce tutti gli iPhone?
No. La fonte descrive un kit usato in campagne mirate e non indica un’infezione generalizzata degli iPhone. Le precedenti analisi avevano associato DarkSword a dispositivi con specifiche versioni di iOS.
Che cosa può rubare questa variante?
Secondo iVerify, P7 può inviare dati del Portachiavi iCloud, elenco delle app e contenuti da Apple Notes, Foto e wallet. Altre analisi citate descrivono impianti con raccolta di dati più ampia, ma dipendono dalla variante e dalla campagna.
Le CVE indicate sono già state corrette da Apple?
Sì. Censys indica CVE-2025-24201 come risolta con iOS e iPadOS 18.3.2 e CVE-2025-31200 con iOS e iPadOS 18.4.1.
Considerazioni finali
L’aspetto più preoccupante di P7 DarkSword non è soltanto l’interesse per i wallet, ma il passaggio a un impianto più controllabile a distanza: comandi, scansioni e raccolta selettiva dei dati permettono a chi opera l’infrastruttura di adattare l’attività al dispositivo già compromesso.
Il quadro resta frammentato, con attribuzioni parziali e varianti anche non funzionanti, ma i dettagli tecnici documentati mostrano un rischio concreto nelle campagne mirate. Il punto decisivo è che alcune vulnerabilità citate risultano già corrette: mantenere iOS aggiornato limita la superficie sfruttabile da catene di exploit note.