Ein chinesischsprachiger Bedrohungsakteur ist offenbar dabei, iOS-Geräte anzugreifen und dabei auf einen öffentlich geleakten Teil des DarkSword Leak-Exploitkits zu setzen. Laut einer Analyse der Plattform Censys läuft die Kampagne über zahlreiche Web-Properties, die stark an bekannte Cloud-Loginseiten angelehnt sind – und führt am Ende zur Ausführung eines Informationsdiebstahl-Trojaners.
Besonders kritisch: Der Angriff ist gegen iOS-Versionen im Bereich 18.4 bis 18.7 ausgerichtet. Startpunkte sind unter anderem präparierte Seiten, die wie Einstiegsportale für Dienste wirken, während im Hintergrund eine Kette aus Schwachstellen und Skripten angestoßen wird.
Was steckt hinter dem DarkSword Leak?
Bei DarkSword handelt es sich um ein Full-Chain-Exploit-Kit. Solche Kits enthalten in der Regel mehrere Bausteine, um eine anfängliche Schwachstelle auszunutzen, die dann in weitere Schritte mündet – bis schließlich Code auf dem Zielsystem aktiv wird.
Die genaue Verknüpfung wurde zuvor bereits durch verschiedene Sicherheitsorganisationen beleuchtet, darunter das Google Threat Intelligence Group (GTIG) sowie weitere beteiligte Akteure. In den bisherigen Erkenntnissen galt DarkSword als potenziell in verschiedenen Kampagnen eingesetzt – in unterschiedlichen Regionen und gegen unterschiedliche Zielgruppen.
Der entscheidende neue Faktor ist jedoch: Nach der öffentlichen Veröffentlichung von Quellcode bzw. Teilen des Kits ist der Aufwand deutlich gesunken, sodass mehr Akteure möglicherweise schneller nachziehen konnten.
Welche iOS-Versionen sind betroffen?
Censys beschreibt, dass das Exploit-Kit gezielt auf iOS 18.4 bis 18.7 abzielt. Diese Einschränkung ist typisch für Exploit-Kits, die konkrete Implementierungsdetails oder Schwachstellen in bestimmten Betriebssystemständen ausnutzen.
Das Vorgehen basiert darauf, dass der Angreifer zunächst eine harmlose Interaktion bzw. einen Klickpfad auslöst – und danach gepatchte bzw. zuvor anfällige Bereiche durch die Exploit-Chain erneut in den Fokus rückt.
Gefälschte Login-Seiten als Einstieg
Damit Nutzer überhaupt in die Angriffslogik geraten, nutzt der Betreiber offensichtlich Watering-Hole-Mechanismen und täuschende Einstiegsseiten. Censys berichtet von mehr als 100 beobachteten Web-Properties, von denen die meisten als gefälschte Seiten für AWS-Login angelegt sind.
Die Hosting-Schwerpunkte liegen nach den Messungen zwar überwiegend in Hongkong, erreichen aber auch mehrere Regionen, darunter Japan, die USA und Europa. Auffällig ist dabei, dass die Domains nicht nur als statische Attrappen dienen, sondern zusätzlich ein Zusammenspiel mit Skripten ermöglichen.
Auf dem Weg in die nächste Stufe laden die Seiten zunächst eine maliziöse iFrame-Komponente und starten anschließend JavaScript, das die DarkSword-Chain anstößt. Danach erfolgt die Übergabe an die eigentliche Schadsoftware.
GHOSTBLADE: Datenklau auf iOS
Wenn die Ausnutzung gelingt, soll die Schadsoftware GHOSTBLADE nach Censys-Beobachtungen verschiedene Module bereitstellen. Dazu zählen insbesondere Mechanismen zum Auslesen von Keychain, iCloud-Daten und WLAN-Zugangsdaten.
Darüber hinaus startet das Implantat offenbar eine Datei-Exfiltrationsroutine. Die gesammelten Daten werden anschließend verpackt und an Zieladressen gesendet, die vom Angreifer kontrolliert werden.
Im Anschluss loggt sich der Betreiber in ein Administrationspanel ein, um die gestohlenen Informationen abzurufen. Censys nennt dabei mehrere mögliche Einstiegspunkte in die Operatoroberfläche.
Panel-Strukturen und Nachweise der geleakten Vorlage
Censys identifizierte konsistente Muster innerhalb des Angriffspfads. Dazu gehört auch, dass bestimmte Hashwerte und Kommentare auf Operatorseiten übereinstimmen. Laut dem Forscher Aidan Holland spricht das dafür, dass es sich nicht um eine völlig neue Implementierung handelt, sondern um eine konkrete Nutzung der geleakten Vorlage.
Die Analyse nennt zudem einen „DarkSword Admin“-Login, dessen Layout über mehrere Hosts hinweg erkannt wurde. Für einen Host in Singapur wird außerdem eine Apple-ID-ähnliche Köderseite beschrieben, die Credential-Daten sammeln soll.
Beispielhafte Hosts, die Censys fand
Die Untersuchung nennt mehrere IP-Adressen und Portkombinationen, unter denen Login-Frontends für die Operatorpanels erreichbar waren. Unter anderem wurden diese Konstellationen dokumentiert:
- Ein Panel mit chinesischen Labels für „username“, „password“ und „Log in“ (inkl. Port 8888)
- Mehrere weitere Hosts mit Port 8888 bzw. 3000, die als Frontends für verschiedene Panels wie „DarkSword Admin“ und „Decode Dashboard“ fungieren
- Ein „C2 Control Panel“, das zugleich eine Apple-ID-Abschirmseite co-hostet und einen Telegram-Kontakt sichtbar macht
Wichtig: Auch wenn einzelne Hosts im Verlauf wieder verschwinden können, zeigt die Struktur der Panels und deren Inhalte, wie stark der Angriff auf wiederverwendete Bausteine setzt.
Von DarkSword zu weiterem Exploit-Zeug: „Thorn C2“
Neben dem eigentlichen Exploit-Kit erwähnt Censys weitere Spuren, die indirekt auf ein umfassenderes Werkzeugset des Betreibers hindeuten. In Frankfurt fand die Plattform eine offene Verzeichnisauflistung, die Hinweise auf zugrundeliegende Technik liefert.
Zu den dokumentierten Artefakten gehören eine SSH-Key-Kommentarzeile, ein Web-Content-Fuzzer sowie Verweise auf eine zuvor nicht erkannte Malwarefamilie, die als „Thorn C2“ bezeichnet wird.
Solche offenen Verzeichnislisten sind für Angreifer riskant, weil sie die Sichtbarkeit von Entwicklungs- und Testkomponenten erhöhen. Gleichzeitig kann genau das Sicherheitsforschern helfen, die Arbeitsweise besser zu verstehen.
Direkter Kontaktkanal: Telegram im C2-Panel
Ein besonders auffälliges Detail aus der Censys-Auswertung: Das „C2 Control Panel“ unterscheidet sich visuell deutlich von den anderen Panels. Dazu gehören u. a. ein dunkler Hintergrund, ein farblicher Akzent, eine animierte Canvas-Optik sowie ein auf der Seite sichtbarer Gruppenname.
Darüber hinaus wird auf der Seite ein Telegram-Kontakt als sichtbarer Link angezeigt. Censys wertet das als den ersten direkt identifizierten Kontaktkanal, während andere Panels offenbar lediglich als Zugangstor fungierten und ansonsten keine offenen Kontaktinformationen enthielten.
Indizien für Overlap: Coruna und mögliche Akteursverknüpfung
Censys fand außerdem einen Host in Singapur, der (zum Zeitpunkt der Untersuchung nicht mehr aktiv war) ein Administrationspanel für Coruna bereitstellte. Coruna gilt als älteres iOS-Exploitkit, das auf deutlich ältere iOS-Versionen abzielt.
Es gibt Hinweise darauf, dass ein bestimmter Bedrohungsakteur (UNC6353) in früheren Angriffen sowohl DarkSword als auch Coruna genutzt haben könnte – zumindest im Kontext von Zielen in der Ukraine. Solche Verknüpfungen sind nicht immer eindeutig, liefern aber wichtige Hinweise darauf, dass bestimmte Akteursgruppen ihre Infrastruktur und Exploit-Ressourcen über mehrere Kampagnen hinweg kombinieren.
Was Nutzer und Unternehmen daraus ableiten sollten
Auch wenn die technischen Details komplex sind, lässt sich aus der beobachteten Angriffslogik eine klare Linie ableiten: Gefälschte Login-Seiten sind nur der Einstieg, die eigentliche Gefahr entsteht durch die nachgelagerte Exploit-Chain und die darauf folgende Malware-Installation.
Für Nutzer bedeutet das vor allem: Login-Seiten genau prüfen, keine Links aus unklaren Quellen anklicken und verdächtige Pop-ups bzw. Einrichtungsaufforderungen skeptisch bewerten. Für Organisationen ist zudem wichtig, den Zugriff auf Benutzerkonten zu überwachen und bei ungewöhnlichen Anmeldeversuchen schnell zu reagieren.
Da das Kit gezielt gegen bestimmte iOS-Versionen ausgerichtet ist, bleibt ein konsequentes Patch-Management ein zentraler Schutzfaktor. Je näher Geräte an den betroffenen Versionen sind, desto größer ist das Risiko.
Fazit
Der DarkSword Leak zeigt, wie schnell aus geleakten Exploit-Bausteinen neue Angriffsvarianten entstehen können. Censys beschreibt eine Kampagne, die über zahlreiche gefälschte AWS- und Apple-ID-ähnliche Seiten startet, anschließend JavaScript-basierte Ausnutzung anstößt und schließlich die iOS-Infostealer-Komponente GHOSTBLADE ausrollt.
Dass mehrere Operatorpanels, identische Hinweise wie Hashes und sogar sichtbare Kontaktinformationen gefunden wurden, unterstreicht zudem: Der Betrieb wirkt strukturiert – und die Veröffentlichung des Codes kann die Verbreitung weiter beschleunigen. Wer iOS-Geräte betreibt, sollte daher Updates zeitnah einspielen und Social-Engineering-Einstiege konsequent absichern.
Quelle: https://thehackernews.com/2026/08/chinese-threat-actor-uses-leaked.html
