Март 2026 года стал знаковым периодом в сфере кибербезопасности, обнажив фундаментальные изменения на рынке инструментов для взлома мобильных устройств. Исследователи из компаний Lookout, iVerify и Google Threat Intelligence Group (GTIG) опубликовали скоординированные отчеты, детализирующие обнаружение сложного шпионского ПО для iPhone под названием DarkSword сообщает Reuters. Это открытие последовало за отчетом о другом мощном эксплойте, Coruna, всего двумя неделями ранее.
Данные события не просто сигнализируют об уязвимостях в iOS, а демонстрируют формирование устойчивого «вторичного рынка» (second-hand market) эксплойтов нулевого дня, которые ранее были прерогативой исключительно государственных структур. По оценкам экспертов, под ударом потенциально могут находиться от 220 до 270 миллионов устройств iPhone, работающих на уязвимых версиях iOS из-за медленного цикла обновления пользователей.
Детали кампании DarkSword: Технический анализ
Согласно отчету Lookout Threat Labs, DarkSword представляет собой полноценную цепочку эксплойтов и инфостилер, написанный преимущественно на JavaScript. Программа нацелена на устройства под управлением iOS версий от 18.4 до 18.6.2, выпущенных Apple в период с марта по август 2025 года.
Вектор атаки и эксплуатация
Атака реализована по методике watering hole (атака через компрометацию популярных ресурсов). Злоумышленники внедрили программные iframe в HTML-код десятков украинских сайтов, включая правительственный домен 7aac.gov.ua и новостной портал novosti.dn.ua. При посещении этих ресурсов с уязвимого iPhone срабатывал скрипт rce_loader.js, который проводил (цифровой отпечаток) устройства.
Lookout описывает технику взлома как многоступенчатую:
1. Выход из песочницы: программа использует уязвимости браузера Safari для взлома WebContent sandbox.
2. Эскалация привилегий: Через WebGPU происходит инъекция в процесс mediaplaybackd, что позволяет получить привилегии ядра (kernel read/write access).
3. Пост-эксплуатация: Модуль-оркестратор `pe_main.js` внедряет полезную нагрузку в привилегированные сервисы iOS (configd, wifid, securityd, UserEventAgent) для сбора данных.
Уязвимости, задействованные в этой кампании, задокументированы под идентификаторами CVE-2025-31277, CVE-2025-43529, CVE-2026-20700 и другими.
Эволюция угроз: От шпионажа к финансовой выгоде
Ключевой особенностью DarkSword, отличающей его от традиционного государственного шпионского ПО, является его финансовая мотивация и тактика «hit-and-run».
Целевая аудитория и данные
Джастин Альбрехт, ведущий исследователь Lookout, заявляет что: «Сейчас существует подтвержденная сеть недавних атак, которые в конечном итоге попали в руки потенциально преступных организаций, преследующих финансовые цели». В отличие от классических шпионских программ, предназначенных для долгосрочного скрытого наблюдения, DarkSword действует иначе. После успешного заражения программа в считанные минуты собирает данные и эксфильтрует их, после чего самоуничтожается, удаляя временные файлы.
Список похищаемых данных включает :
- Криптовалютные кошельки: Нацелен на приложения Coinbase, Binance, Ledger, Trezor, Metamask, а также на извлечение seed-фраз.
- Персональные данные: Сохраненные пароли, фотографии, базы данных WhatsApp и Telegram, SMS, история звонков, геолокация.
- Данные iCloud и Keychain.
Взаимосвязь с Coruna и экосистема поставщиков
Исследователи обнаружили, что инфраструктура DarkSword (домен cdncounter[.]net) размещалась на тех же серверах, что и ранее обнаруженный эксплойт Coruna (cdn.uacounter[.]com), что указывает на общего оператора, отслеживаемого как UNC6353.
Coruna, обнаруженный в начале марта, представлял собой еще более масштабный набор инструментов, содержащий 23 эксплойта для iOS версий от 13.0 до 17.2.1 и, предположительно, изначально разработанный для коммерческих вендоров слежения (Commercial Surveillance Vendors). Попадание этого инструмента в руки группировки UNC6353, а затем и к китайской финансово-мотивированной группе UNC6691, подтверждает теорию о существовании рынка перепродажи сложных эксплойтов.
Роки Коул, соучредитель и главный операционный директор iVerify, комментирует: «Обнаружение в этом месяце двух различных мощных эксплойтов для iOS свидетельствует о наличии развитой экосистемы инструментов, которые ранее использовались преимущественно в разведывательных операциях на государственном уровне».
География атак и субъекты угроз
Анализ Google показал, что инструментарий DarkSword и Coruna использовался в различных кампаниях против целей в Саудовской Аравии, Турции, Малайзии и на Украине. Кампании в Малайзии и Турции связывают с турецким коммерческим поставщиком систем видеонаблюдения PARS Defense.
Сами операторы (UNC6353) проявляют слабую операционную безопасность, что нетипично для государственных хакеров высокого уровня. «Тот факт, что они не заботятся о том, будет ли раскрыт их инструментарий, и используют его в массовых атаках с плохой операционной безопасностью, говорит о многом», — отмечает Коул.
Рекомендации по защите и реакция Apple
Apple выпустила исправления для уязвимостей, используемых DarkSword, в более поздних версиях iOS. Устройства, работающие на iOS 18.7.3 и выше, а также iOS 26, не подвержены данной угрозе. Более того, для владельцев старых устройств (вплоть до iPhone 6s и iPhone X) были выпущены бэкпортированные патчи, закрывающие уязвимости Coruna.
Тем не менее, главной проблемой остается низкая скорость обновления пользовательской базы. Согласно публичным оценкам StatCounter, только около 16% устройств работают на защищенных версиях iOS 26.
Эксперты рекомендуют:
1. Обновление ПО: Немедленно обновить устройства до актуальной версии iOS 26.3.1 или iOS 18.7.3.
2. Режим Lockdown: Активировать режим Lockdown (Блокировка), который эффективно блокирует выполнение сложных цепочек эксплойтов, включая Coruna.
3. Мониторинг: Корпоративным клиентам рекомендуется использовать решения для мобильной безопасности (MDM/UEM) для выявления устаревших устройств в сети.
Обнаружение DarkSword знаменует собой новую реальность в киберпространстве: инструменты, способные взламывать защиту iOS, стали товаром на черном рынке. Стирается грань между кибероружием, используемым спецслужбами, и инструментарием киберпреступников. Пока пользователи откладывают обновление операционной системы из-за изменения интерфейса или других причин, их устройства остаются уязвимыми для атак, которые еще недавно считались невозможными без прямого участия государства.