DarkSwordエクスプロイトがiOSデバイスを攻撃、暗号資産ユーザーを標的に

TLDR

• DarkSwordはiOS 18.4〜18.7を標的とし、暗号資産ウォレットと個人データを盗む。

• Ghostbladeマルウェアは、Coinbase、Binance、Ledger、MetaMaskなどを標的とする。

• 偽サイト経由でエクスプロイトが発動し、ユーザーの操作なしでデバイスに感染する。

• 最終段階のマルウェアは、機密データを素早く盗んだ後に自己削除する。

• iOS 26.3にアップデートするか、ロックダウンモードを有効にしてDarkSword攻撃をブロックする。

DarkSwordと呼ばれる新しいiOSエクスプロイトチェーンが、iOS 18.4から18.7を実行しているデバイスを積極的に標的にしている。このエクスプロイトは、6つのゼロデイ脆弱性を利用して、侵害されたデバイスにマルウェアをインストールする。複数の攻撃者が、サウジアラビア、ウクライナ、マレーシア、トルコのユーザーに対してDarkSwordを展開している。

DarkSwordは、ログイン認証情報、通話履歴、位置情報などの機密データを盗むように設計されたマルウェアを配信する。感染したデバイス上の暗号資産アプリとウォレットを特に標的としている。侵害されたウェブサイトにアクセスしたユーザーは、何の操作もせずに無意識のうちにエクスプロイトを発動させる可能性がある。

サイバーセキュリティ研究者は、DarkSwordを通じて展開される複数の最終段階のマルウェアファミリーを特定した。これには、Ghostblade、Ghostknife、Ghostsaberが含まれ、データを素早く抽出した後に自己削除する。これらのキャンペーンは、商用スパイウェアベンダーと国家支援の脅威アクターの両方によるDarkSwordの採用を示している。

GhostbladeがCrypto取引所とウォレットを標的に

DarkSwordによって展開されるGhostbladeは、iOSデバイス上の暗号資産取引所アプリケーションを積極的に検索する。Coinbase、Binance、Kraken、Kucoin、OKX、MEXCなどの主要プラットフォームを標的としている。また、このマルウェアは、Ledger、Trezor、MetaMask、Exodus、Uniswap、Phantom、Gnosis Safeなどの人気ウォレットも狙っている。

暗号資産に加えて、GhostbladeはデバイスからSMS認証、iMessage、通話履歴、連絡先を収集する。また、Wi-Fi認証情報、Safariクッキー、閲覧履歴、位置情報も窃取する。このマルウェアは、健康データ、写真、TelegramとWhatsAppのメッセージ履歴にアクセスする。

Ghostbladeは短期的なデータ盗難のために動作し、抽出後に一時ファイルを削除して自身を終了する。この迅速な動作設計により、感染したデバイスに残る痕跡が最小限に抑えられる。DarkSwordがGhostbladeを配信できる能力は、暗号資産ユーザーへの標的化の増加を浮き彫りにしている。

グローバル展開とエクスプロイトメカニズム

DarkSwordは、偽ウェブサイトと侵害された政府ポータルを使用した標的型キャンペーンで観測されている。サウジアラビアでは、Snapchatをテーマにしたサイトが、DarkSwordを通じてデバイスに感染させるために使用された。エクスプロイトチェーンはiframeを作成し、リモートコード実行モジュールを取得してマルウェアを配信する。

DarkSword内の異なるRCEエクスプロイトは、メモリ破損やPACバイパス脆弱性を含む特定のiOSバージョンを標的としている。ローダーロジックは時々デバイスバージョンを区別できず、ツールの急速な展開を反映している。それにもかかわらず、DarkSwordはGhostknifeやGhostsaberのような最終段階のペイロードを一貫してインストールする。

研究者は2025年後半にAppleに脆弱性を報告し、パッチはiOS 26.3に含まれた。DarkSword配信に関連するドメインは、現在セーフブラウジングリストに追加されている。ユーザーは、DarkSwordキャンペーンに対する追加の保護のために、iOSデバイスをアップデートするか、ロックダウンモードを有効にすることを強く推奨されている。

DarkSwordは、iOSデバイス上の暗号資産ユーザーにとって重大な脅威として浮上している。複数の攻撃者によるエクスプロイトの急速な採用は、デジタル資産への増大するリスクを示している。取引所、ウォレット、個人データを標的とすることは、即座のデバイスアップデートの必要性を強調している。

DarkSwordエクスプロイトが暗号資産ユーザーを標的にiOSデバイスを攻撃という投稿は、CoinCentralに最初に掲載されました。