网络安全研究人员披露了此前未被观测到的DarkSword iOS漏洞利用工具包变种，名为P7 DarkSword。
iVerify在周四发布的最新报告中表示：“与我们通常观测到的变种相比，P7缩小了在设备上的驻留体积，新增了本地钥匙串与加密钱包数据窃取能力，还加入了与攻击者基础设施的双向C2通信功能。”
该变种之所以命名为“P7”，是因为威胁行为者修改原始DarkSword代码时，使用了“p7_”作为变量前缀。
今年3月，谷歌威胁情报组（GTIG）、iVerify与Lookout首次公开记录了DarkSword的相关信息，指出其可攻击运行iOS 18.4至18.7版本的iPhone。该工具包于2025年11月被发现存在野外利用活动。
该工具包可串联多个iOS漏洞，突破浏览器沙箱，提升至内核权限，再将主载荷注入负责应用启动与主屏幕管理的iOS进程SpringBoard。研究人员评估认为，这套漏洞利用链本是商业产品，后流入二手交易市场，自2025年末开始被牟利型攻击者及其他威胁行为者获取。
目前已有多个威胁行为者使用该工具包发起攻击，目标覆盖沙特阿拉伯、土耳其、马来西亚与乌克兰。其中土耳其商业监控厂商PARS Defense通过仿冒Snapchat主题网站实施攻击，亲俄威胁行为者Star Blizzard（又名COLDRIVER）则使用虚假邀请作为诱饵。
2026年8月，攻击面管理平台Censys披露了一起未知中文威胁行为者发起的攻击活动。该活动除使用该漏洞利用工具包攻击Apple iOS设备外，还会投放仿冒Apple ID登录页面。
iVerify表示，就在上个月，其观测到“多起失败的框架更新尝试，疑似借助LLM辅助，目的是让工具包支持iOS 26.x版本”。该漏洞利用工具包在公开披露后不久即遭泄露，直接催生了这些更新尝试。
这些变种的优化方向集中在三点：提升运行稳定性、增强隐蔽性，以及提高窃取数据的质量。P7 DarkSword正是上述优化方向的落地版本：它移除了HTTP请求与syslog中的调试日志，还利用浏览器localStorage机制防止设备被重复利用。旧版本会直接复制钥匙串数据库并外传至攻击者基础设施处理，新版本则先在本地设备上将钥匙串数据提取为JSON格式，再执行外传操作。
Part01
植入体注入SpringBoard进程
支持十余类远程控制命令
iVerify表示：“植入体注入SpringBoard进程后，所有与攻击者基础设施的通信都由该进程承载。”
这一最新版本每15秒轮询一次待执行命令，可发送“心跳”消息与已安装应用列表。它还能外传iCloud钥匙串信息，以及苹果备忘录、照片、加密钱包等应用的数据。
设备定期轮询任务后收到的响应，包含需要在受害者手机上执行的命令，具体功能如下：
execute_command：执行ls、dir、cat、mkdir、rm、echo、ps、memdump、ipconfig、netstat、whoami等操作系统命令 ls：列出目录内容 download：读取设备本地文件并上传至C2服务器 photos：上传"/var/mobile/Media/DCIM"路径下的照片文件 apps：枚举应用容器并提取bundle ID exec：在植入体运行时环境中直接执行任意JavaScript代码 file_upload：递归扫描一个或多个路径，上传符合条件的文件 basic_info：向C2服务器发送设备元数据 disk_scan：从根目录"/,"开始递归扫描文件系统，记录文件、目录、符号链接的元数据，以报告形式上传相关信息 ios_app_data：查找指定bundle ID对应的应用沙箱与应用组容器，上传选定的应用文件 wallet_scan：扫描设备中已安装的钱包应用 wallet_extract：提取imToken钱包应用的相关数据 memo_scan：上传苹果备忘录数据库 photo_scan：上传苹果照片应用中的图片 sleep：修改信标轮询间隔 exit：终止信标循环，停止植入体运行
Part02
五台主机泄露攻击活动线索
本次披露发布的同时，Censys表示其在5台主机上发现了开放目录，目录中存储有DarkSword与Coruna的相关组件。Coruna是今年曝光的另一款iOS漏洞利用工具包，已被武器化用于攻击运行iOS 13.0至17.2.1版本的iPhone。
Censys表示：“Coruna是同一黑产生态分发的配套载荷工具包。DarkSword的漏洞利用阶段执行完成后，Coruna的攻击阶段会在受害者的浏览器会话中运行，其钱包窃取模块可从iOS应用中盗取加密货币助记词、余额信息与密钥库数据。攻击者通常会搭配使用DarkSword与Coruna，对接自己的C2基础设施开展攻击。”
5台主机的具体信息如下：
43.134.165[.]205：承载DS-Fusion v1.0（又名DarkSword Fusion），这是一款将DarkSword与Coruna打包为一体的整合工具包 166.88.95[.]90：作为植入体的C2服务器运行；2026年9月6日，该服务器记录到两台真实的中国iOS设备（IP分别为183.154.173[.]30、182.239.114[.]223）连续数小时每3秒轮询一次信标页面 23.148.212[.]237：作为分析工作区使用，日志显示攻击者正在开发适配iOS 26的漏洞利用链（如CVE-2026-31001），这些漏洞不在DarkSword与Coruna的覆盖范围内 47.102.192[.]23：作为Coruna工具包的暂存主机 156.239.230[.]120：暴露了完整的C2平台，2026年9月15日研究人员观测到该平台曾向一台设备发送轮询指令
研究人员对生产服务器的漏洞利用记录进行分析后发现，DarkSword漏洞利用工具包包含两个此前未被公开记录的CVE编号：
CVE-2025-24201：WebKit引擎中的越界写入漏洞，攻击者可利用该漏洞突破Web内容沙箱（苹果已在iOS 18.3.2与iPadOS 18.3.2版本中修复该漏洞） CVE-2025-31200：Core Audio框架中的内存损坏漏洞，当设备处理恶意构造媒体文件中的音频流时，可触发代码执行（苹果已在iOS 18.4.1与iPadOS 18.4.1版本中修复该漏洞）
研究人员怀疑，上述开放目录集群与156.239.230[.]120平台由一名中文威胁行为者运营，目的是窃取加密钱包数据，但目前尚无法确认攻击者的真实身份。
Censys研究员Aidan Holland表示：“该平台运营着中文圈的漏洞利用即服务业务，其管理面板暴露了代理/经销商模式。研究人员在一份恢复的生产服务器副本中，发现了11条受害者的助记词、179个设备战利品目录，以及包含75个账号的控制面板名单。”
Censys还检测到另一名位于中国的攻击者，在野外使用同一工具包对接自有C2服务器“66ds[.]lol”发起攻击，其攻击目标新增了开放目录样本中未包含的加密钱包BitKeep。这些发现再次表明，该工具包正在牟利型攻击者群体中快速扩散。
Censys表示：“该攻击者使用腾讯与沈阳的主机服务，研究人员通过一个唯一的自签名证书颁发机构，可将相关活动关联到同一名攻击者。”
参考来源：
P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands
https://thehackernews.com/2026/10/p7-darksword-ios-exploit-kit-adds.html