Une infection d’iPhone pourrait désormais permettre aux opérateurs de DarkSword d’obtenir bien plus qu’un simple lot de fichiers. Une variante récemment documentée peut extraire les données du trousseau Apple et des portefeuilles de cryptomonnaies, puis recevoir de nouvelles commandes des attaquants.
L’entreprise spécialisée dans la sécurité mobile iVerify a révélé P7 DarkSword le 8 octobre, après avoir enquêté en août sur le téléphone infecté d’un client. Ce logiciel espion modifié réduit certaines traces de son activité et contacte l’infrastructure des attaquants pour obtenir de nouvelles instructions. Pour les employés qui utilisent des iPhone pour accéder aux services de l’entreprise, le problème ne se limite pas aux informations personnelles : il concerne aussi les identifiants susceptibles d’ouvrir l’accès aux comptes professionnels.
P7 DarkSword extrait les données du trousseau et accepte les commandes à distance
iVerify a constaté que P7 traite les données du trousseau dans un fichier JSON sur l’iPhone avant de les envoyer aux attaquants. Les variantes précédentes de DarkSword copiaient plutôt la base de données afin de la traiter sur l’infrastructure des attaquants. P7 réduit également les injections de processus et la journalisation, et utilise le stockage du navigateur pour éviter les exploitations répétées.
Après l’injection dans SpringBoard, le processus iOS qui gère l’écran d’accueil, l’implant interroge un serveur contrôlé par l’attaquant environ toutes les 15 secondes. Les opérateurs peuvent demander les notes Apple, les photos, les fichiers des applications et les données des portefeuilles, inspecter les répertoires ou exécuter des commandes. Ils peuvent également modifier à distance l’intervalle entre les interrogations.
Un domaine d’analyse expiré a contribué à diffuser DarkSword
The Hacker News a rapporté le 12 octobre que des attaquants avaient réenregistré ecomtrack[.]io, un domaine expiré appartenant à un ancien fournisseur de services d’analyse pour le commerce électronique. Les boutiques qui chargeaient encore sa balise de suivi redirigeaient involontairement certains visiteurs vers des sites malveillants. L’une des routes menait à un faux site de cryptomonnaies qui diffusait le logiciel malveillant DarkSword au moyen d’une chaîne d’exploitation iOS.
Les attaques de DarkSword documentées précédemment ciblaient certaines versions d’iOS 18, notamment les versions 18.4 à 18.7. Les informations disponibles n’établissent pas que tous les iPhone sont vulnérables ni que P7 peut compromettre des appareils entièrement à jour.
Les données volées du trousseau pourraient exposer des comptes professionnels
Un trousseau compromis peut contenir des identifiants liés à la messagerie, aux services cloud ou aux applications professionnelles, selon ce que l’utilisateur y a enregistré et ce que le logiciel malveillant a pu consulter. Les commandes à distance aggravent le risque, car les enquêteurs doivent déterminer quelles informations supplémentaires un opérateur a pu recueillir.
Aviatrix a rattaché la menace à l’accès aux identifiants du trousseau et à l’exfiltration de données, soulignant la nécessité d’enquêter sur les comptes connectés aussi bien que sur le téléphone lui-même. Son analyse n’a pas établi de perte financière confirmée liée à P7.
Les équipes de sécurité doivent vérifier les iPhone et les comptes exposés
Donnez la priorité aux iPhone non corrigés qui accèdent à des systèmes professionnels sensibles, y compris, lorsque cela est pertinent, les appareils personnels des employés. Une version obsolète d’iOS justifie un examen, mais ne constitue pas une preuve d’infection.
- Rechercher des indicateurs : Examinez les données disponibles de télémétrie des menaces mobiles et du réseau afin d’y repérer le domaine de commande et de contrôle signalé par iVerify, agdx53[.]cc. Lorsque l’accès à des éléments forensiques le permet, recherchez /private/var/tmp/keychain_c2_dump.json.
- Isoler les appareils suspects : Restreignez leur accès, préservez les éléments de preuve et examinez les connexions inhabituelles ou l’activité liée aux fichiers dans les comptes professionnels connectés.
- Sécurisez les identifiants potentiellement exposés : Révoquez les sessions actives, renouvelez les mots de passe concernés depuis un appareil de confiance et évaluez les informations de récupération des portefeuilles si des comptes de cryptomonnaies étaient présents.
Les opérateurs de sites web doivent également vérifier les anciennes balises d’analyse et confirmer que leurs domaines restent sous un contrôle légitime. La mise à jour d’iOS contribue à empêcher l’exploitation des failles corrigées, mais ne permet pas de récupérer les informations déjà volées. Traitez une infection présumée par DarkSword à la fois comme un incident touchant l’appareil et comme une possible compromission de compte. Sinon, un attaquant pourrait conserver son accès longtemps après la sécurisation du téléphone.
DarkSword est également apparu dans une autre arnaque visant l’iPhone. Découvrez comment une fausse page de précommande d’iPhone Duo a tenté d’exploiter des appareils non corrigés et ce que les utilisateurs peuvent faire pour se protéger.