Eine iPhone-Infektion könnte DarkSword-Betreibern nun mehr als eine einmalige Dateiausbeute ermöglichen. Eine neu dokumentierte Variante kann Apple-Keychain- und Kryptowährungs-Wallet-Daten extrahieren und anschließend neue Befehle von Angreifern empfangen.
Das auf mobile Sicherheit spezialisierte Unternehmen iVerify gab P7 DarkSword am 8. Oktober bekannt, nachdem es im August das infizierte Telefon eines Kunden untersucht hatte. Die modifizierte Spyware hinterlässt weniger Spuren ihrer Aktivitäten und kontaktiert die Infrastruktur der Angreifer, um weitere Anweisungen zu erhalten. Für Mitarbeiter, die mit iPhones auf Unternehmensdienste zugreifen, geht die Gefahr über persönliche Informationen hinaus: Betroffen sein können auch Zugangsdaten, die den Zugriff auf Arbeitskonten ermöglichen.
P7 DarkSword extrahiert Keychain-Daten und akzeptiert Fernbefehle
iVerify stellte fest, dass P7 Keychain-Daten auf dem iPhone in eine JSON-Datei umwandelt, bevor sie an die Angreifer gesendet werden. Frühere DarkSword-Varianten kopierten stattdessen die Datenbank, um sie auf der Infrastruktur der Angreifer zu verarbeiten. P7 reduziert außerdem Prozess-Injektionen und Protokollierung und nutzt Browser-Speicher, um wiederholte Exploits zu vermeiden.
Nach der Injektion in den iOS-Prozess zur Verwaltung des Home-Bildschirms fragt das Implantat etwa alle 15 Sekunden einen von den Angreifern kontrollierten Server ab. Die Betreiber können Apple-Notizen, Fotos, App-Dateien und Wallet-Daten anfordern, Verzeichnisse untersuchen oder Befehle ausführen. Außerdem können sie das Abfrageintervall aus der Ferne ändern.
Eine abgelaufene Analytics-Domain half bei der Verbreitung von DarkSword
The Hacker News berichtete am 12. Oktober, dass Angreifer ecomtrack[.]io erneut registriert hatten, eine abgelaufene Domain eines früheren E-Commerce-Analytics-Anbieters. Websites, die dessen Tracking-Tag weiterhin luden, leiteten einige Besucher unwissentlich über schädliche Weiterleitungen. Eine Route führte zu einer gefälschten Kryptowährungsseite, die eine DarkSword-iOS-Exploitkette auslieferte.
Zuvor dokumentierte DarkSword-Angriffe zielten auf bestimmte iOS-18-Versionen, darunter 18.4 bis 18.7. Die verfügbaren Berichte belegen weder, dass jedes iPhone verwundbar ist, noch dass P7 vollständig aktualisierte Geräte kompromittieren kann.
Gestohlene Keychain-Daten könnten Unternehmenskonten offenlegen
Eine kompromittierte Keychain kann je nachdem, was der Nutzer gespeichert hatte und worauf die Malware zugriff. Fernbefehle verschärfen das Problem, da Ermittler feststellen müssen, welche weiteren Informationen ein Betreiber möglicherweise gesammelt hat.
Aviatrix ordnete die Bedrohung dem Zugriff auf Keychain-Zugangsdaten und der Datenexfiltration zu. Das unterstreicht, wie wichtig es ist, neben dem Telefon selbst auch verbundene Konten zu untersuchen. Die Analyse ergab keinen bestätigten finanziellen Verlust durch P7.
Sicherheitsteams sollten iPhones und gefährdete Konten überprüfen
Priorisieren Sie nicht aktualisierte iPhones, die auf sensible Geschäftssysteme zugreifen, gegebenenfalls auch persönliche Geräte von Mitarbeitern. Eine veraltete iOS-Version ist ein Anlass zur Überprüfung, aber kein Beleg für eine Infektion.
- Nach Indikatoren suchen: Prüfen Sie verfügbare Telemetriedaten zu mobilen Bedrohungen und Netzwerken auf die von iVerify gemeldete Command-and-Control-Domain agdx53[.]cc. Sofern der forensische Zugriff dies erlaubt, suchen Sie nach /private/var/tmp/keychain_c2_dump.json.
- Verdächtige Geräte isolieren: Beschränken Sie deren Zugriff, sichern Sie Beweismittel und untersuchen Sie ungewöhnliche Anmeldungen oder Dateiaktivitäten in verbundenen Unternehmenskonten.
- Potenziell kompromittierte Zugangsdaten: Widerrufen Sie aktive Sitzungen, ändern Sie relevante Passwörter von einem vertrauenswürdigen Gerät aus und prüfen Sie die Informationen zur Wallet-Wiederherstellung, falls Kryptowährungskonten vorhanden waren.
Betreiber von Websites sollten außerdem alte Analytics-Tags überprüfen und sicherstellen, dass ihre Domains weiterhin unter legitimer Kontrolle stehen. Die Aktualisierung von iOS hilft, die Ausnutzung bereits gepatchter Schwachstellen zu verhindern, kann aber bereits gestohlene Informationen nicht wiederherstellen. Behandeln Sie eine vermutete DarkSword-Infektion sowohl als Gerätevorfall als auch als möglichen Kontenkompromittierung. Andernfalls könnte ein Angreifer noch lange Zugriff behalten, nachdem das Telefon gesichert wurde.
DarkSword ist auch in einem separaten iPhone-Betrug aufgetaucht. Sehen Sie, wie eine gefälschte iPhone-Duo-Vorbestellseite versucht hat, ungepatchte Geräte auszunutzen und was Nutzer zu ihrem Schutz tun können.