Phân tích P7 DarkSword: Biến thể mới của bộ công cụ khai thác iOS nhắm vào ví tiền điện tử

• Phát hiện mới: P7 DarkSword là biến thể tinh gọn hơn của bộ công cụ khai thác DarkSword, tập trung vào việc đánh cắp dữ liệu keychain và ví tiền điện tử.
• Cơ chế tấn công: Sử dụng chuỗi lỗ hổng để thoát sandbox, leo thang đặc quyền kernel và tiêm payload vào tiến trình SpringBoard.
• Mở rộng phạm vi: Công cụ này đang được các tác nhân đe dọa sử dụng trong các chiến dịch tấn công nhắm vào nhiều quốc gia, bao gồm cả việc lợi dụng các tên miền bị bỏ hoang.
• Dấu hiệu nhận biết: Các hoạt động C2 (Command & Control) diễn ra định kỳ mỗi 15-30 giây với các lệnh thực thi tùy chỉnh.

Các chuyên gia an ninh mạng vừa công bố chi tiết về một biến thể mới của bộ công cụ khai thác iOS có tên gọi là P7 DarkSword. So với các phiên bản tiền nhiệm, P7 đã được tối ưu hóa đáng kể về dấu vết trên thiết bị, đồng thời bổ sung các tính năng nguy hiểm như đánh cắp dữ liệu keychain và ví tiền điện tử, cùng khả năng giao tiếp hai chiều với hạ tầng của kẻ tấn công.

Phân tích kỹ thuật và chuỗi khai thác

DarkSword lần đầu được ghi nhận vào tháng 3/2026 bởi các nhóm tình báo mối đe dọa, với khả năng nhắm mục tiêu vào các thiết bị chạy iOS từ phiên bản 18.4 đến 18.7. Bộ công cụ này được thiết kế để xâu chuỗi nhiều lỗ hổng bảo mật nhằm thoát khỏi sandbox của trình duyệt, leo thang đặc quyền lên mức kernel và cuối cùng là tiêm payload vào SpringBoard - tiến trình quản lý màn hình chính và khởi chạy ứng dụng trên iOS.

Các lỗ hổng bảo mật liên quan

Dựa trên phân tích từ các máy chủ sản xuất, bộ công cụ này khai thác các lỗ hổng nghiêm trọng sau đây:

Loại	Giá trị / Chỉ số	Mô tả tác động
CVE-2025-24201	WebKit Out-of-bounds Write	Cho phép thoát khỏi sandbox Web Content.
CVE-2025-31200	Core Audio Memory Corruption	Cho phép thực thi mã từ xa thông qua tệp tin media.
CVE-2026-31001	iOS 26 Exploit Chain	Đang trong quá trình phát triển cho các phiên bản mới.

⚠️ Cảnh báo quan trọng: Việc sử dụng các tên miền bị bỏ hoang (như ecomtrack[.]io) để phát tán mã độc thông qua các thẻ theo dõi (tracking tags) cũ trên các trang thương mại điện tử là một kỹ thuật tinh vi, khiến người dùng khó lòng phát hiện khi truy cập vào các trang web hợp pháp.

Khả năng điều khiển và đánh cắp dữ liệu

P7 DarkSword được trang bị cơ chế beaconing định kỳ mỗi 15 giây để nhận lệnh từ máy chủ C2. Các lệnh này bao gồm việc liệt kê tệp tin, tải xuống dữ liệu, chụp ảnh màn hình, và đặc biệt là quét các ứng dụng ví tiền điện tử để trích xuất thông tin nhạy cảm. Dưới đây là một số lệnh tiêu biểu mà kẻ tấn công có thể thực thi:

# Các lệnh điều khiển từ xa phổ biến trong P7 DarkSword: 1. execute_command: Thực thi lệnh hệ thống (ls, ps, whoami, netstat) 2. wallet_extract: Trích xuất dữ liệu từ ví imToken 3. photo_scan: Tự động tải lên thư viện ảnh từ /var/mobile/Media/DCIM 4. sleep: Thay đổi khoảng thời gian beaconing để né tránh phát hiện

Khuyến nghị phòng ngừa

Để bảo vệ thiết bị trước các mối đe dọa từ bộ công cụ khai thác này, người dùng và quản trị viên cần thực hiện các biện pháp sau:

• Cập nhật hệ điều hành: Luôn cài đặt các bản vá bảo mật mới nhất từ Apple để vô hiệu hóa các lỗ hổng đã biết như CVE-2025-24201 và CVE-2025-31200.
• Kiểm soát ứng dụng: Hạn chế cài đặt các ứng dụng từ nguồn không xác định hoặc các liên kết đáng ngờ được gửi qua tin nhắn/email.
• Giám sát mạng: Sử dụng các giải pháp bảo mật mạng để phát hiện các kết nối bất thường đến các IP C2 đã biết như 166.88.95[.]90 hoặc 156.239.230[.]120.
• Bảo mật ví tiền điện tử: Sử dụng các thiết bị phần cứng (Hardware Wallet) để lưu trữ tài sản số thay vì lưu trữ trực tiếp trên thiết bị di động.