DarkSword: exploit iOS colpisce milioni di iPhone

I ricercatori di Google, iVerify e Lookout hanno scoperto e descritto una catena di exploit, denominata DarkSword, che sfrutta sei vulnerabilità zero-day presenti in iOS per installare almeno tre malware. All’inizio del mese era stato individuato un potente toolkit usato per attività di spionaggio.

Installare subito iOS 26.3.1

DarkSword sfrutta sei vulnerabilità presenti nelle versioni di iOS da 18.4 a 18.7. La catena di exploit è stata utilizzata da cybercriminali, tra cui i russi del gruppo UNC6353, gli stessi che hanno effettuato attacchi con il toolkit Coruna. In quest’ultimo caso, i bersagli erano gli utenti in Ucraina. Un altro gruppo (UNC6748) ha invece preso di mira gli utenti in Arabia Saudita. Tutti gli attacchi iniziano quando l’ignara vittima visita un sito compromesso con Safari (watering hole).

Gli esperti di Google hanno identificato tre famiglie di malware. GHOSTBLADE possiede funzionalità di infostealer e spyware. Può rubare dati delle app di messaggistica e dai wallet di criptovalute, informazioni sul dispositivo e l’utente (account, app installate, operatore telefonico e altre), cronologia, cookie e segnalibri dai browser. Può inoltre scattare foto, catturare screenshot e accedere alla posizione geografica.

GHOSTKNIFE è invece una backdoor che consente ai cybercriminali di esfiltrare messaggi, account, dati dei browser e posizione geografica. Può anche catturare screenshot e registrare audio dal microfono dell’iPhone. Infine, GHOSTSABER è un’altra backdoor che raccoglie informazioni sul dispositivo, l’elenco delle app installate e specifici file.

DarkSword non ha tuttavia una persistenza. Dopo l’invio dei dati ai server controllati dai cybercriminali vengono eliminate le tracce, quindi non viene sfruttato per una sorveglianza a lungo termine. Apple ha rilasciato le patch per le sei vulnerabilità in maniera graduale a partire da iOS 18.6. Gli utenti dovrebbero installare l’ultima versione disponibile del sistema operativo, ovvero iOS 26.3.1. Per gli iPhone più vecchi c’è iOS 18.7.6.

Alcune categorie di utenti dovrebbero attivare la funzionalità Lockdown Mode (Modalità isolamento). Google ha aggiunto i domini dei siti al servizio Safe Browsing, quindi verranno segnalati come pericolosi.