iPhoneへの感染により、DarkSwordの運用者は一度きりのファイル収集以上のことを実行できるようになった可能性がある。新たに確認された亜種は、Apple Keychainと暗号資産ウォレットのデータを抽出したうえで、攻撃者から新たなコマンドを受信できる。
モバイルセキュリティ企業のiVerifyは、8月に感染した顧客のスマートフォンを調査した後、10月8日にP7 DarkSwordを公表した。この改変スパイウェアは活動の痕跡を一部減らし、追加の指示を受けるため攻撃者のインフラに接続する。iPhoneで企業サービスにアクセスする従業員にとって、懸念は個人情報にとどまらず、業務アカウントを開ける認証情報にも及ぶ。
P7 DarkSword、Keychainデータを抽出しリモートコマンドを受け付ける
iVerifyは、P7がKeychainデータをJSONファイルにiPhone上で変換してから攻撃者に送信していたことを突き止めた。従来のDarkSword亜種は、データベースをコピーして攻撃者のインフラ上で処理していた。P7はプロセスへのインジェクションやログ記録も減らし、繰り返しの悪用を避けるためブラウザーのストレージを利用する。
SpringBoardに注入された後、ホーム画面を管理するiOSプロセスは、約15秒ごとに攻撃者が制御するサーバーをポーリングする。運用者はApple Notes、写真、アプリのファイル、ウォレットデータを要求したり、ディレクトリを調べたり、コマンドを実行したりできる。ポーリング間隔をリモートで変更することも可能だ。
期限切れの分析用ドメインがDarkSwordの配信に悪用される
The Hacker Newsは10月12日、攻撃者が、かつてのEC分析プロバイダーが所有していた期限切れのドメインecomtrack[.]ioを再登録したと報じた。このトラッキングタグをいまだに読み込んでいた店舗は、訪問者の一部を知らないうちに悪意あるリダイレクトへ誘導した。その経路の1つは、DarkSwordのiOSエクスプロイトチェーンを配信する偽の暗号資産サイトにつながっていた。
これまでに報告されたDarkSword攻撃は、iOS 18の特定バージョンを標的としており、18.4から18.7も含まれる。公開されている報告からは、すべてのiPhoneが脆弱であることや、P7が完全にアップデートされたデバイスを侵害できることまでは確認されていない。
盗まれたKeychainデータが企業アカウントを露出させる可能性
侵害されたKeychainには、ユーザーが保存していた情報やマルウェアがアクセスしたものによっては、メール、クラウドサービス、業務アプリに関係する認証情報が含まれている可能性がある。リモートコマンドが使われることで懸念はさらに大きくなる。調査担当者は、運用者が追加でどの情報を収集した可能性があるのかを特定しなければならないためだ。
Aviatrixは脅威をKeychainの認証情報へのアクセスとデータ流出に結び付けた。これは、スマートフォン自体だけでなく、接続されたアカウントも調査する必要性を浮き彫りにしている。同社の分析では、P7による金銭的損失が確認されたわけではない。
セキュリティチームはiPhoneと露出したアカウントを確認すべき
機密性の高い業務システムにアクセスする、パッチ未適用のiPhoneを優先的に調べる。必要に応じて、従業員の私物デバイスも対象に含める。古いiOSバージョンは調査のきっかけになるが、感染の証拠ではない。
- インジケーターを探す：iVerifyが報告したコマンド＆コントロール用ドメインagdx53[.]ccについて、利用可能なモバイル脅威テレメトリーとネットワークテレメトリーを調べる。フォレンジック調査が可能なら、/private/var/tmp/keychain_c2_dump.jsonの有無を確認する。
- 疑わしいデバイスを封じ込める：アクセスを制限し、証拠を保全するとともに、接続された業務アカウントで不審なサインインやファイル操作がないか調べる。
- 保護すべき潜在的に露出した認証情報：アクティブなセッションを無効化し、信頼できるデバイスから関連するパスワードを変更する。暗号資産アカウントが存在していた場合は、ウォレットの復旧情報を確認する。
ウェブサイトの運営者も、古い分析タグを監査し、ドメインが正当な管理下にあることを確認すべきだ。iOSを更新すれば、パッチが適用された脆弱性の悪用防止には役立つが、すでに盗まれた情報を取り戻すことはできない。DarkSword感染の疑いは、デバイスのインシデントであると同時に、アカウント侵害の可能性として扱う必要がある。そうしなければ、スマートフォンを保護した後も攻撃者が長期間アクセスを維持するおそれがある。
DarkSwordは別のiPhone詐欺にも登場しています。次の記事では、未修正のデバイスを悪用しようとした偽のiPhone Duo予約注文ページと、ユーザーが自分を守るためにできることを紹介します。