Phân tích P7 DarkSword: Biến thể mới của bộ công cụ khai thác iOS nhắm vào ví tiền điện tử

Các chuyên gia an ninh mạng vừa công bố chi tiết về P7 DarkSword, một biến thể mới và tinh gọn hơn của bộ công cụ khai thác iOS, tập trung mạnh vào việc đánh cắp dữ liệu keychain cùng tài sản số của người dùng.

Tổng quan về biến thể P7 DarkSword

Phiên bản P7 được tối ưu hóa đáng kể về dấu vết trên thiết bị, bổ sung các tính năng nguy hiểm như đánh cắp dữ liệu ví tiền điện tử và khả năng giao tiếp hai chiều với hạ tầng của kẻ tấn công. Bộ công cụ này nhắm đến các thiết bị chạy hệ điều hành iOS, sử dụng chuỗi lỗ hổng để thoát khỏi sandbox của trình duyệt, leo thang đặc quyền lên mức kernel và tiêm payload vào tiến trình SpringBoard quản lý màn hình chính.

Các lỗ hổng bị khai thác

Dựa trên phân tích từ các chuyên gia, mã độc khai thác các lỗ hổng cốt lõi bao gồm CVE-2025-24201 (lỗi ghi ngoài giới hạn trong WebKit cho phép thoát sandbox), CVE-2025-31200 (lỗi hỏng bộ nhớ Core Audio cho phép thực thi mã từ xa qua tệp media), cùng chuỗi khai thác CVE-2026-31001 đang phát triển cho các phiên bản iOS mới.

Kỹ thuật phát tán và cơ chế hoạt động

Kẻ tấn công sử dụng các tên miền bị bỏ hoang thông qua các thẻ theo dõi cũ trên trang thương mại điện tử để phát tán mã độc một cách tinh vi. P7 DarkSword duy trì cơ chế beaconing định kỳ để nhận lệnh từ máy chủ điều khiển C2, cho phép thực thi hệ thống, trích xuất dữ liệu từ ví imToken, tự động tải lên thư viện ảnh và thay đổi thời gian kết nối nhằm né tránh phát hiện.

Biện pháp phòng ngừa và bảo mật

Người dùng và quản trị viên cần cập nhật hệ điều hành iOS mới nhất để vá các lỗ hổng đã biết, kiểm soát chặt chẽ nguồn cài đặt ứng dụng, giám sát lưu lượng mạng để phát hiện kết nối bất thường, đồng thời ưu tiên sử dụng thiết bị phần cứng chuyên dụng để lưu trữ ví tiền điện tử an toàn.