Onderzoekers hebben een nieuwe variant van de DarkSword iOS exploitkit ontdekt: P7 DarkSword. Deze uitbreiding is volgens iVerify minder “zwaar” op het toestel, gericht op het stelen van keychain- en crypto-walletinformatie en gebruikt bovendien een manier van communicatie met de aanvaller die is aangepast aan de omgeving. Daarmee staat P7 DarkSword iOS exploitkit verder in de richting van datadiefstal met remote command execution.
DarkSword zelf werd eerder dit jaar publiek beschreven door onder meer de Google Threat Intelligence Group (GTIG) in samenwerking met iVerify en Lookout. P7 DarkSword bouwt daar volgens de onderzoekers op voort en verfijnt de keten van exploits, zodat de aanval beter werkt en minder opvalt.
Wat is P7 DarkSword iOS exploitkit?
P7 DarkSword is een variant binnen hetzelfde “ecosysteem” van DarkSword. De naam “P7” verwijst naar de manier waarop de aanvallers variabelen hebben aangepast in wijzigingen aan de oorspronkelijke code. Waar eerdere versies vooral bekend werden om het doorbreken van beveiligingslagen op bepaalde iOS-versies, gaat deze iteratie extra in op dataverzameling en operationele flexibiliteit.
De toolkit is ontworpen om meerdere iOS-kwetsbaarheden te combineren. Het doel is om eerst uit de browser-sandbox te ontsnappen, daarna verder op te schalen naar kernel-privileges en uiteindelijk een payload in te injecteren in SpringBoard. SpringBoard is het iOS-proces dat verantwoordelijk is voor app-lanceringen en de home screen ervaring.
Volgens iVerify is de aanvalsketen bovendien waarschijnlijk afkomstig uit een commerciële hoek: de exploitkit lijkt via een “tweedehands” markt te zijn terechtgekomen en daarna te zijn gebruikt door financieel gemotiveerde actoren én andere dreigingsgroepen.
Gerichte iPhone-aanvallen en inzet in meerdere landen
iVerify en andere onderzoekers koppelen DarkSword en varianten aan aanvallen op iPhones met iOS-versies tussen 18.4 en 18.7. Daarnaast werd de toolkit volgens de bron al in het wild waargenomen in november 2025.
De inzet ging niet voorbij aan regio’s: aanvallen werden gemeld tegen doelen in onder meer Saudi-Arabië, Turkije, Maleisië en Oekraïne. Dat gebeurde via verschillende social engineering routes, zoals een neppagina die lijkt op een Snapchat-omgeving en lokkertjes in de vorm van uitnodigingen.
Daarbij noemden onderzoekers ook een campagne die Apple ID-gerelateerde misleiding gebruikte. Censys beschreef in augustus 2026 een campagne door een onbekende dreigingsactor die iOS-apparaten benaderde met de exploitkit én tegelijkertijd een decoy sign-in pagina serveerde.
Verbeteringen voor stealth en stabiliteit
Een opvallend onderdeel van de evolutie is hoe P7 DarkSword omgaat met zichtbaarheid en heruitvoering. iVerify vermeldt dat P7 DarkSword eerder debug logging via HTTP-verzoeken en syslog schrapt. Ook wordt browser localStorage ingezet om te voorkomen dat de exploit opnieuw wordt getriggerd.
Daarnaast verschilt het dataproces van eerdere versies. Waar sommige eerdere varianten de keychain-database kopieerden en vervolgens naar de infrastructuur van de aanvaller exfiltreerden, zou P7 DarkSword keychain-data op het toestel eerst in JSON omzetten voordat de gegevens worden verstuurd.
Ook de persistentie en het ritme van de implant zijn verfijnd. iVerify meldt dat de geïnjecteerde component in SpringBoard periodiek checkt op opdrachten en een soort “heartbeat” stuurt.
Remote opdrachten: van bestandsverkenning tot wallet-diefstal
De bronbeschrijving maakt duidelijk dat P7 DarkSword niet alleen gegevens buitmaakt, maar ook commando’s kan uitvoeren op het besmette toestel. De implant pollt ongeveer elke 15 seconden naar nieuwe instructies. In het responsverkeer kan de aanvaller taken doorgeven die vervolgens op de iPhone worden uitgevoerd.
Onderzoekers noemen onder andere de volgende commandofuncties:
- execute_command: uitvoer van systeemcommando’s zoals ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat en whoami.
- ls: lijst van directory-inhoud.
- download: een bestand lezen vanaf het toestel en uploaden naar het C2-systeem.
- photos: uploaden van foto’s uit “/var/mobile/Media/DCIM”.
- apps: enumereren van app-containers en het ophalen van bundle IDs.
- exec: uitvoeren van willekeurige JavaScript-instructies binnen de runtime van de implant.
- file_upload: recursief scannen van paden en uploaden van overeenkomende bestanden.
- basic_info: apparaatmetadata naar het C2 sturen.
- disk_scan: recursief scannen van het bestandssysteem vanaf “/,” met rapportage van metadata voor bestanden, mappen en symlinks.
- ios_app_data: app-sandboxen en app-groepcontainers doorzoeken voor opgegeven bundle IDs en geselecteerde bestanden uploaden.
- wallet_scan en wallet_extract: detecteren en extraheren van wallet-gerelateerde data; specifiek wordt iemToken als doel genoemd.
- memo_scan en photo_scan: uploaden van Apple Notes-databases en foto’s uit Apple Photos.
- sleep: aanpassen van de poll-interval.
- exit: stoppen van de beacon-loop en de implant uitschakelen.
Dat crypto-walletdiefstal en keychain-extractie samenkomen in één keten vergroot het risico: slachtoffers krijgen niet alleen te maken met datalekken, maar mogelijk ook met verlies van herstelzinnen, balances of toegang tot accounts.
Exploit-registratie en niet eerder gedocumenteerde CVE’s
Naast de operationele details benoemen onderzoekers ook technische componenten uit de exploit-registratie. Daarbij zouden twee CVE-identifiers zijn aangetroffen die eerder nog niet publiek gedocumenteerd waren:
- CVE-2025-24201: een out-of-bounds write-kwetsbaarheid in WebKit. Deze kan aanvallers helpen om uit de Web Content sandbox te breken. In de bron staat dat dit is verholpen in iOS 18.3.2 en iPadOS 18.3.2.
- CVE-2025-31200: een memory corruption-kwetsbaarheid in Core Audio. Volgens de beschrijving kan dit code-uitvoering mogelijk maken bij het verwerken van een speciaal vervaardigd audiobestand. Oplossingen staan vermeld voor iOS 18.4.1 en iPadOS 18.4.1.
Hoewel de timing van patches belangrijk is, benadrukken onderzoekers vooral dat een exploitkit het geheel combineert: pas wanneer alle schakels kloppen, ontstaat de route van sandbox-escape naar payload-injectie.
Coruna: companion kit en wallet-harvesting
Censys stelt dat Coruna een companion payload kit is die op hetzelfde ecosysteem draait. Waar DarkSword zelf de exploitstadia uitvoert, zouden de stadia van Coruna starten binnen de browsersessie nadat DarkSword zijn eerste stappen heeft gezet.
Volgens de bron bevat Coruna modules voor het stelen van crypto-gerelateerde gegevens, zoals crypto recovery phrases, balances en keystore-data uit iOS-apps. De operators zouden DarkSword en Coruna combineren tegen hun eigen C2-infrastructuur.
Infrastructuur en observaties van platforms
De bron beschrijft ook hosts en platforms die gelinkt worden aan het DarkSword/Celuna-ecosysteem. Eén van de beschreven systemen zou een gecombineerde pakketvariant leveren: DS-Fusion v1.0, waarin beide kits samenkomen. Daarnaast wordt er melding gemaakt van een C2-server die beacon-polling registreerde op regelmatige tijdstippen.
Verder noemt Censys een analysewerkruimte waarop operators mogelijk exploit chains ontwikkelen voor iOS 26, waaronder varianten die niet door DarkSword of Coruna zouden worden afgedekt. Ook worden staging- en platformhosts genoemd die samenhangen met het volledige C2-platform.
Uit de productie-server exploit registry zou blijken dat er sprake is van een exploitation-as-a-service model: een beheerpaneel dat werkt volgens een agent/reseller-model en waarin gegevens van slachtoffers zijn aangetroffen. Daarbij ging het onder meer om recovery phrases, “loot” directory’s op apparaten en een lijst met accounts binnen de control-plane.
Waarom dit nieuws ertoe doet voor iOS-beveiliging
P7 DarkSword iOS exploitkit laat zien hoe mobiele aanvallen evolueren richting echte “cybercrime-as-a-product”. De combinatie van sandbox-escape, injectie in SpringBoard, keychain/extractie in JSON en periodieke tasking maakt de aanval niet alleen krachtig, maar ook herhaalbaar en schaalbaar.
Voor verdedigers en security teams betekent dit vooral dat ze moeten nadenken over ketendenken: niet één kwetsbaarheid verhelpen is genoeg, als een exploitkit meerdere stappen combineert. Daarnaast vraagt het om monitoring op misleidingspagina’s, anomalieën in dataverkeer en het snel toepassen van security-updates.
Als je breder wilt lezen over hoe exploitkits en malafide tooling zich verspreiden of welke patronen onderzoekers vaak zien, is het interessant om ook deze achtergrondartikelen mee te nemen:
- SonicWall: SSRF-kwetsbaarheid met hoge impact
- Malicious Firefox-extensies die recovery-phrases stelen
- AI in bankaanvallen en PoeLLM: wat je moet weten
Wat kun je nu doen?
Hoewel de bron vooral technische en operationele details geeft, zijn er wel praktische aandachtspunten voor organisaties en individuele gebruikers:
- Werk iOS bij zodra updates beschikbaar zijn, zeker wanneer ze kwetsbaarheden adresseren die in de aanvalsketen passen.
- Let op social engineering: neppagina’s rond Apple ID of identiteits- en platformdiensten horen bij de gebruikte lure-technieken.
- Bewaar security-hygiëne rond wallets en herstelzinnen: een aanval die keychain en recovery data kan bereiken, kan ook herstelmogelijkheden voor aanvallers openen.
- Monitor en reageer op afwijkend gedrag, zoals ongebruikelijke frequentie van activiteiten of het onverwacht exfiltreren van app- en media-data.
Conclusie
P7 DarkSword iOS exploitkit toont hoe geavanceerde mobiele aanvallen zich richten op precies de gegevens die het meeste schade veroorzaken: iCloud Keychain, iOS-appdata en crypto-walletgerelateerde informatie. Door verbeteringen in stealth, dataverwerking en command-and-control kan de kit effectiever opereren dan eerdere DarkSword-varianten.
De belangrijkste les is dat beveiliging niet stopt bij patching van één onderdeel. Wie iOS-omgevingen wil beschermen, moet de aanval als keten bekijken en tegelijkertijd letten op misleiding, datastromen en snelle respons bij verdachte signalen.
Bron: https://thehackernews.com/2026/10/p7-darksword-ios-exploit-kit-adds.html
