P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands
Mis à jour :
Évolution de la menace : Le kit d’exploitation iOS « P7 DarkSword »
Le kit d’exploitation iOS DarkSword a évolué vers une variante nommée P7, conçue pour une exfiltration furtive et ciblée de données sensibles. Initialement identifié en 2025 comme un outil commercial détourné par divers groupes de cybercriminels, ce kit permet de sortir de la « sandbox » du navigateur, d’élever les privilèges au niveau du noyau (kernel) et d’injecter une charge utile dans le processus système SpringBoard.
Points clés :
- Capacités accrues : P7 DarkSword se distingue par une réduction de son empreinte numérique, l’abandon des logs de débogage et l’utilisation du stockage local du navigateur pour éviter les détections.
- Vecteurs d’attaque : Utilisation de sites web factices (Snapchat) ou d’invitations leurres par des acteurs comme Star Blizzard.
- Finalité : Ciblage intensif des portefeuilles de cryptomonnaies, des notes (Apple Notes), des photos et des informations d’identification iCloud, via une communication bidirectionnelle avec un serveur de commande et de contrôle (C2).
- Modèle économique : Le kit semble être distribué selon un modèle d’« exploitation-as-a-service », incluant des portails d’administration pour des revendeurs.
Vulnérabilités exploitées :
- CVE-2025-24201 : Écriture hors limites dans WebKit permettant de s’échapper du bac à sable (patché dans iOS 18.3.2).
- CVE-2025-31200 : Corruption de mémoire dans le framework Core Audio permettant l’exécution de code arbitraire (patché dans iOS 18.4.1).
Recommandations :
- Mise à jour système : Maintenir les appareils iOS à jour vers les versions les plus récentes pour bénéficier des correctifs de sécurité critiques.
- Hygiène numérique : Faire preuve d’une extrême prudence face aux invitations, liens suspects (Snapchat ou autres) et aux demandes de connexion Apple ID provenant de sources non officielles.
- Sécurité des actifs numériques : Éviter de stocker des phrases de récupération ou des clés privées de portefeuilles de cryptomonnaies sur des appareils mobiles, particulièrement ceux utilisés pour la navigation web intensive.