Une nouvelle campagne ciblant les appareils Apple iOS s’appuie sur un kit d’exploitation divulgué. Selon des observations relayées par une analyse de Censys, un acteur parlant chinois utiliserait DarkSword afin de lancer GHOSTBLADE, un logiciel malveillant conçu pour voler des informations et faciliter leur exfiltration.
Ce qui rend l’affaire particulièrement préoccupante, c’est l’ampleur observable côté infrastructure web, ainsi que la manière dont le schéma d’attaque s’appuie sur des pages d’authentification imitées (y compris des pages “type AWS”).
DarkSword et GHOSTBLADE : comment l’attaque fonctionne
DarkSword est décrit comme un exploit kit complet, conçu pour enchaîner plusieurs étapes d’exploitation. Il vise spécifiquement des versions d’iOS 18.4 à 18.7. L’enjeu : déclencher, via des failles désormais corrigées, l’exécution de code qui ouvre la voie au chargement d’un implant malveillant.
Dans cette campagne, le parcours débute généralement lorsque la victime atteint un domaine contrôlé ou utilisé par l’opérateur. Le dispositif peut prendre la forme d’une imitation de consolepage de connexion liée à un identifiant Apple.
Ensuite, un élément iframe chargerait du JavaScript qui démarre la chaîne DarkSword. Une fois l’exploitation réussie, le système héberge alors des modules de GHOSTBLADE destinés à la collecte d’informations.
Des pages d’identification falsifiées à l’exfiltration
Les observations de Censys indiquent que l’infrastructure s’organise autour de nombreuses propriétés web : au total, l’acteur ferait fonctionner plus de 100 propriétés, dont la majorité seraient des pages factices d’identification se faisant passer pour des services de connexion.
Dans l’échantillon étudié, plusieurs hôtes correspondent à des pages de connexion associées à un panneau d’administration identifié comme “DarkSword Admin”, ainsi qu’à d’autres panneaux (notamment un “Decode Dashboard” et un “C2 Control Panel”).
Après compromission, GHOSTBLADE est observé comme délivrant notamment des modules visant :
- le dumping de contenus liés au Keychain ;
- la collecte d’éléments relevant d’iCloud ;
- l’extraction d’informations associées aux réseaux Wi‑Fi ;
- un balayage/exploration des fichiers pour préparation à l’exfiltration.
Les données collectées sont ensuite emballées puis envoyées vers des points de collecte contrôlés par l’attaquant. Enfin, l’opérateur se connecterait à un panneau d’administration pour récupérer les données dérobées.
Un kit divulgué qui s’est propagé
DarkSword avait déjà été documenté plus tôt dans l’année par plusieurs acteurs de renseignement (dont Google Threat Intelligence Group). Mais, dans ce cas précis, l’attaque tirerait parti d’une version divulguée publiquement du kit, ce qui a abaissé le seuil d’entrée pour d’autres groupes.
Autrement dit, la divulgation a eu un effet d’entraînement : d’autres acteurs malveillants auraient rejoint l’exploitation, en s’appuyant non seulement sur l’idée générale, mais aussi sur des éléments du code et de la structure.
Censys rapporte, dans son analyse, un indice concret : un hash commun de page de préparation, ainsi que des commentaires en langue russe repris depuis la source divulguée. Ces éléments suggèrent que l’activité observée correspond à un déploiement à partir du matériel divulgué, plutôt qu’à une simple réimplémentation.
Où l’infrastructure se trouve et ce que Censys a retrouvé
Selon l’analyse, l’hébergement des composants se concentrerait principalement à Hong Kong, tout en touchant aussi des emplacements et accès en Japon, États‑Unis et Europe. Le chercheur Aidan Holland précise que le rayon d’action observé dépasse la seule zone de stockage.
Par ailleurs, Censys mentionne des correspondances de pages de connexion “DarkSword Admin” associées à sept hôtes dans trois pays au 30 juillet 2026. L’analyse cite également un hôte basé à Singapour — identifié comme n’étant plus actif — et qui hébergeait un autre ensemble de panneaux lié à un kit iOS antérieur.
Indices d’interface et éléments de contact
Dans l’un des panneaux de connexion, accessible via une adresse donnée (et avec un port précisé dans les observations), Censys a relevé des champs de formulaire en langue chinoise, correspondant typiquement à “nom d’utilisateur”, “mot de passe” et bouton de connexion.
Quant au panneau “C2 Control Panel”, Censys décrit une interface visuellement distincte des autres : un fond très sombre, des accents rouges, un effet d’arrière‑plan à particules, et même un nom de groupe affiché directement dans la page. Surtout, un lien de contact Telegram apparaît dans l’interface récupérée.
La même analyse souligne que ce lien constituerait le premier canal de contact direct identifié pour cet opérateur, tandis que les autres panneaux serviraient surtout de porte d’entrée de connexion.
Des modules variés, une logique d’attaque récurrente
Le schéma d’attaque rapporté est décrit comme plutôt cohérent dans la chaîne d’événements : la victime arrive sur un domaine qui mime une ressource légitime, un chargement d’élément intégré déclenche du JavaScript, puis la séquence DarkSword s’exécute. Enfin, le déploiement de modules GHOSTBLADE entraîne la collecte de données et la préparation d’une exfiltration.
Ce qui ressort, c’est la combinaison entre ingénierie web (pages d’authentification imitées) et exploitation (ciblage de versions spécifiques d’iOS). Cette approche vise à maximiser la probabilité d’interaction de la victime avant que l’exploitation ne s’enclenche.
Liens possibles avec d’autres kits iOS
Dans la même enquête, Censys évoque un hôte singapourien ayant déjà porté des panneaux d’administration liés à Coruna, un kit iOS antérieur. Coruna aurait ciblé des versions plus anciennes d’iOS, ce qui laisse penser que l’infrastructure a pu être réutilisée ou mise en relation avec des campagnes successives.
Enfin, certains éléments seraient cohérents avec l’hypothèse que des acteurs connus sous un identifiant (non détaillé ici côté contexte opérationnel) auraient pu exploiter plusieurs kits lors d’actions dirigées vers des cibles ukrainiennes.
Ce que cela signifie pour les utilisateurs iOS
Pour les utilisateurs, le point le plus important est le périmètre technique : le kit DarkSword cible des versions précises d’iOS (18.4 à 18.7). Cela implique que les correctifs déjà appliqués via les mises à jour pourraient réduire fortement la surface d’attaque.
Au-delà des mises à jour, la campagne rappelle l’importance de la vigilance : les pages imitées peuvent ressembler à des écrans de connexion connus, y compris des flux évoquant des services cloud. En pratique, il est essentiel d’éviter de saisir des identifiants sur des pages suspectes et de vérifier l’origine d’une demande de connexion.
Enfin, si vous administrez un environnement d’entreprise, surveiller l’accès à des domaines inattendus, les redirections et les événements web anormaux peut aider à détecter les premières étapes d’une intrusion avant que les modules malveillants ne s’exécutent.
Conclusion
La campagne observée montre comment un kit d’exploitation divulgué peut être rapidement réutilisé à grande échelle. En combinant des pages d’identification falsifiées, une chaîne d’exploitation ciblant iOS 18.4 à 18.7 et le déploiement de GHOSTBLADE, les opérateurs cherchent à voler des identifiants (Keychain, iCloud, Wi‑Fi) puis à exfiltrer des fichiers.
Pour limiter le risque, la meilleure réponse reste double : installer rapidement les mises à jour iOS et renforcer les réflexes de sécurité face aux pages de connexion suspectes.
Source: https://thehackernews.com/2026/08/chinese-threat-actor-uses-leaked.html
