Una variante del kit de explotación DarkSword para iOS roba carteras de criptomonedas

La empresa de seguridad móvil iVerify ha publicado detalles técnicos sobre P7 DarkSword, una nueva variante del kit de explotación para iOS que añade capacidades de comunicación bidireccional y robo de activos digitales. La herramienta infecta terminales con versiones comprendidas entre iOS 18.4 e iOS 18.7 para extraer credenciales del llavero del sistema y datos almacenados en aplicaciones de criptomonedas.

El kit DarkSword fue documentado por primera vez en marzo de 2026 por Google Threat Intelligence Group, iVerify y Lookout, tras registrarse actividad real contra dispositivos en noviembre de 2025. Según los análisis periciales, el desarrollo original surgió como un software de vigilancia comercial que acabó filtrado en mercados secundarios, donde ha sido adoptado por actores con motivación económica y grupos de espionaje respaldados por Estados.

Mecanismos técnicos y extracción local de datos

P7 DarkSword encadena fallos del sistema para eludir el aislamiento del navegador web, elevar privilegios hasta el núcleo del sistema operativo e inyectar su código en SpringBoard, el proceso central de iOS encargado de la pantalla de inicio y la apertura de aplicaciones. De acuerdo con el informe de iVerify, esta versión utiliza el prefijo p7_ en sus variables internas, suprime los registros de depuración en peticiones HTTP y almacena datos en el navegador para evitar ejecutar el exploit más de una vez en el mismo terminal.

A diferencia de versiones precedentes que enviaban la base de datos íntegra del llavero para su análisis remoto, la variante P7 procesa y formatea las claves en un archivo JSON dentro del propio teléfono antes de emitirlo a los servidores de control. La implantación consulta instrucciones cada 15 segundos, lapso en el que transmite el estado del teléfono, la lista de programas instalados, registros de notas de Apple, fotografías y contenidos de monederos como imToken.

El registro de vulnerabilidades documentado por Censys detalla que la cadena recurre a dos fallos específicos: CVE-2025-24201, un desbordamiento de escritura en el motor de navegación WebKit corregido en iOS 18.3.2, y CVE-2025-31200, un problema de corrupción de memoria en el marco Core Audio solventado en iOS 18.4.1 que permite la ejecución de instrucciones arbitrarias mediante secuencias de sonido manipuladas.

Distribución mediante dominios expirados

El investigador de seguridad Scott Helme, a través de Report URI, documentó que atacantes no identificados reactivaron el dominio ecomtrack.io el 15 de septiembre de 2026 tras caducar el registro de la empresa emergente checa que lo gestionaba. El dominio mantenía etiquetas de seguimiento activas en diversas tiendas electrónicas, lo que permitió insertar código malicioso en las páginas web legítimas para redirigir a los compradores.

El código malicioso analiza las características del navegador para bloquear herramientas automatizadas de análisis y envía a los visitantes hacia plataformas fraudulentas como chainmate.top, un falso portal de negociación de criptomonedas que entrega la cadena de explotación DarkSword. Helme señaló que esta implementación, catalogada como versión 24, se comunica cada 30 segundos con el servidor mertio.cc y recopila historiales de llamadas, mensajes SMS, contraseñas de redes wifi y archivos de más de 25 aplicaciones de custodia de criptomonedas.

Comercialización y operadores en infraestructura abierta

Censys identificó cinco servidores con directorios abiertos que contenían componentes de DarkSword combinados con Coruna, otro conjunto de exploits diseñado para vulnerar versiones desde iOS 13.0 hasta iOS 17.2.1. El paquete conjunto, denominado DS-Fusion v1.0, permite a los atacantes extraer saldos, contraseñas de almacenes de claves y frases semilla destinadas a recuperar fondos en billeteras móviles.

Aidan Holland, investigador de Censys, indicó que uno de los paneles administrativos vinculados a la dirección 156.239.230.120 operaba bajo un modelo de explotación como servicio en lengua china, estructurado para revendedores. La copia del servidor permitió recuperar 11 frases de recuperación de criptomonedas pertenecientes a víctimas, 179 carpetas con información exfiltrada y un registro de gestión con 75 cuentas de control asociadas.

El análisis de la infraestructura también reveló intentos fallidos de actualizar las herramientas hacia versiones experimentales de iOS 26 apoyándose en modelos de lenguaje extenso, además de despliegues previos vinculados a la firma turca PARS Defense y al grupo ruso Star Blizzard en países como Ucrania, Turquía, Malasia y Arabia Saudí.

El seguimiento del ecosistema exige vigilar la actualización urgente de dispositivos vulnerables en versiones intermedias de iOS 18 y la monitorización de dependencias web en desuso que siguen cargando recursos desde dominios caducados.