Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands

1 minute de lecture

Mis à jour :

Évolution et dangers du kit d’exploitation iOS « P7 DarkSword »

Le kit d’exploitation iOS DarkSword a évolué vers une variante baptisée P7, conçue pour accroître la furtivité et la capacité de vol de données sur les appareils Apple. Initialement documenté début 2025, ce kit est désormais utilisé par des acteurs malveillants pour infiltrer des appareils (iOS 18.4 à 18.7) via des sites frauduleux, avant d’étendre ses capacités à l’exfiltration de données financières.

Points clés

  • Capacités étendues : La version P7 permet une communication bidirectionnelle avec un serveur de commande et de contrôle (C2), offrant un accès distant total.
  • Vol ciblé : Le logiciel malveillant extrait désormais directement sur l’appareil les données du trousseau (keychain), les notes, les photos et les portefeuilles de cryptomonnaies.
  • Infrastructure C2 : Le kit utilise un modèle de type « exploitation-as-a-service » avec des interfaces d’administration pour les revendeurs. Des serveurs exposés ont été identifiés, révélant des campagnes actives visant le vol d’actifs numériques.
  • Persistance : Le malware injecte un payload dans le processus SpringBoard (gestionnaire d’interface iOS) pour maintenir sa persistance et communiquer toutes les 15 secondes avec l’attaquant.

Vulnérabilités exploitées

Le kit s’appuie sur une chaîne d’exploits, dont les failles majeures suivantes ont été identifiées :

  • CVE-2025-24201 : Vulnérabilité d’écriture hors limites dans WebKit permettant de s’échapper du sandbox du navigateur (corrigée dans iOS 18.3.2).
  • CVE-2025-31200 : Corruption de mémoire dans le framework Core Audio permettant l’exécution de code arbitraire (corrigée dans iOS 18.4.1).

Recommandations

  • Mise à jour système : Appliquer systématiquement les dernières mises à jour de sécurité iOS/iPadOS pour corriger les vulnérabilités exploitées par ces chaînes d’attaques.
  • Vigilance sur les liens : Se méfier des invitations ou des pages de connexion Apple ID provenant de sources tierces, souvent utilisées comme vecteurs d’infection (leurres Snapchat ou invitations factices).
  • Sécurité des portefeuilles : Éviter de stocker des phrases de récupération ou des données sensibles de portefeuilles de cryptomonnaies sur des appareils mobiles, surtout si ceux-ci contiennent des applications tierces non vérifiées.
  • Hygiène numérique : Ne pas cliquer sur des liens suspects reçus par message et éviter de fournir des identifiants sur des sites web n’utilisant pas le domaine officiel apple.com.

Source

Vous pourriez aimer