SlowMist warnt, dass Darksword möglicherweise Wallets auf iOS 26.5 angreift

SlowMist hat gewarnt, dass Angreifer möglicherweise die Darksword-Exploits-Kette angepasst haben, um Geräte mit iOS 26.5 zu kompromittieren und private Schlüssel aus selbstverwalteten Krypto-Wallets zu extrahieren.

Zusammenfassung

• Darksword-Angriffe können beginnen, wenn ein iPhone-Nutzer einen bösartigen Link in Safari öffnet.
• SlowMist sagt, dass Angreifer die Exploit-Kette möglicherweise auf iOS 26.5 angepasst haben.
• Google hatte zuvor Darksword-Aktivitäten gegen iOS 18.4 bis iOS 18.7 bestätigt.
• Drei US-Investoren behaupten separat, dass gefälschte Wallet-Apps zu Verlusten von 1,835 Millionen USD in Bitcoin geführt haben.

Der Chief Information Security Officer von SlowMist, 23pds, sagte, dass Angreifer Darksword verwenden, um die Sicherheitskontrollen von Apple zu umgehen, umfassenden Zugriff auf betroffene iPhones zu erhalten und Daten von lokal installierten Krypto-Wallets zu sammeln.

Die gemeldete Exposition von iOS 26.5 wurde von Apple oder Google nicht unabhängig bestätigt. Die veröffentlichte Forschung der Google Threat Intelligence Group dokumentierte die Unterstützung für iOS-Versionen 18.4 bis 18.7, während 23pds sagte, dass Angreifer das Tool seitdem modifiziert haben, um gegen das neuere Betriebssystem zu arbeiten.

Darksword könnte iOS 26.5-Geräte erreichen

Die Google Threat Intelligence Group identifizierte Darksword als eine vollständige iOS-Exploits-Kette, die sechs Schwachstellen kombiniert, um Geräte zu kompromittieren und separate bösartige Payloads zu liefern. Das Unternehmen verfolgte verwandte Aktivitäten von mindestens Dezember 2025 bis März 2026.

Laut Google unterstützte das ursprüngliche Framework iOS 18.4 bis iOS 18.7. Ein Fehler, der gegen iOS 18.6 bis 18.7-Geräte verwendet wurde, verfolgt als CVE-2025-43529, betraf JavaScriptCore, die Engine, die JavaScript in Safari verarbeitet. Apple hat den Fehler in iOS 18.7.3 und iOS 26.2 gepatcht, nachdem Google ihn gemeldet hatte.

Die neueste Bewertung von SlowMist erweitert die potenzielle Exposition auf iOS 26.5, obwohl die Behauptung des Sicherheitsunternehmens keine offizielle Bestätigung erhalten hat. Keine technische Analyse, die in der Warnung zitiert wurde, stellte fest, welche Schwachstelle oder welcher Ersatz-Exploit Darksword ermöglichen könnte, die neuere Version zu kompromittieren.

Angreifer initiieren in der Regel die Kompromittierung durch Social Engineering, so 23pds. Ein Ziel erhält einen Link über ein soziales Netzwerk, eine Messaging-App oder einen anderen Kommunikationskanal und öffnet die Seite in Safari. Bösartige Webinhalte versuchen dann, den Browser und andere iOS-Komponenten auszunutzen, ohne dass der Benutzer eine herkömmliche Anwendung installieren muss.

Sobald die Kette erfolgreich ist, kann der Angreifer Root-Zugriff erhalten, sagte 23pds. Ein solcher Zugriff kann die Isolation entfernen, die normalerweise verhindert, dass eine Anwendung Dateien und Anmeldeinformationen einer anderen liest, wodurch private Schlüssel und andere Wallet-Daten, die auf dem Gerät gespeichert sind, gefährdet werden.

Bösartige Safari-Links können Wallet-Daten offenlegen

Google fand mehrere Gruppen, die Darksword mit unterschiedlichen Payloads in der Endphase verwendeten, anstatt ein festes Stück Malware. Je nach Kampagne könnten die Payloads Kontodaten, Nachrichten, Browserprotokolle, Dateien, Standortverlauf, gespeicherte WLAN-Daten und Informationen zu Krypto-Wallets sammeln.

Das Sicherheitsunternehmen verband separate Operationen mit Opfern in Saudi-Arabien, der Türkei, Malaysia und der Ukraine. Google assoziierte einige Aktivitäten mit kommerziellen Überwachungsanbietern und verdächtigen staatlich verbundenen Gruppen, während Forscher auch Anzeichen fanden, dass finanziell motivierte Akteure Zugang zu fortschrittlichen iPhone-Exploitation-Tools erlangt hatten.

Keine Opferzahl oder bestätigte Menge an Kryptowährung, die durch Darksword gestohlen wurde, wurde in den von SlowMist bereitgestellten Materialien enthalten. Die Warnung konzentrierte sich stattdessen auf die Fähigkeit des Frameworks, Wallet-Informationen zu erreichen, nachdem das Gerät, das sie speichert, kompromittiert wurde.

Eine ähnliche Liefermethode trat in einer früheren mobilen Bedrohung auf. Im März berichtete crypto.news über die Erkenntnisse von Google zu Coruna, einem Exploit-Kit, das 23 Schwachstellen über fünf Angriffs-Ketten enthielt. Coruna zielte auf iPhones ab, die von iOS 13 bis iOS 17.2.1 liefen, und konnte nach Begriffen wie "Backup-Phrase" und "Bankkonto" in Dateien und Bildern suchen.

Google-Forscher berichteten, dass Coruna das Gerät eines Besuchers identifizierte, bevor ein Exploit ausgewählt wurde, der auf das iPhone-Modell und die Softwareversion zugeschnitten war. Einige Betreiber platzierten das Kit auf gefälschten Glücksspiel- und Kryptowährungsseiten, wodurch der Kompromiss begann, als ein Ziel die Seite aufrief.

Neueste iOS-Bedrohungen zielen auf private Schlüssel ab

Darksword ist nicht die einzige aktuelle Sicherheitsbedrohung, die Kryptowährungsdaten auf Apple-Geräten betrifft. Binance warnte am 19. September iPhone- und iPad-Nutzer vor bösartigem Code, der in den Versionen 1.1 und 1.2 von FomoPeek gefunden wurde.

Forscher, die die App untersuchten, fanden ein Kernel-Exploitation-Framework mit acht Angriffsarten und erklärten, dass die Unterstützung iOS 12.0 bis 18.7.2 und iOS 26.0 bis 26.1 abdeckt. Die bösartigen Module könnten die iOS-Sandbox umgehen, Keychain-Daten entschlüsseln und auf private Schlüssel, Wiederherstellungssätze von Wallets, Kontodaten und Dateien anderer Anwendungen zugreifen, so ein Bericht über FomoPeek.

Binance riet jedem, der die betroffenen Versionen installiert hatte, die App zu entfernen, iOS zu aktualisieren und eine Neuinstallation zu vermeiden. Selbstverwahrende Nutzer wurden ebenfalls aufgefordert, eine neue Wallet auf einem sauberen Gerät zu erstellen und ihre Vermögenswerte zu übertragen, da das Löschen einer bösartigen App eine Wallet nicht schützen würde, wenn ihr privater Schlüssel oder Wiederherstellungssatz bereits kopiert worden war.

Darksword nutzt einen anderen Ansatz, da seine dokumentierten Kampagnen auf bösartigen oder kompromittierten Websites basieren. In beiden Fällen geht es jedoch um Versuche, die Kontrollen zu überwinden, die normalerweise verhindern, dass Software sensible Aufzeichnungen, die anderswo auf einem iPhone gespeichert sind, erlangt.

SlowMist riet den Nutzern, mobile Betriebssystem-Updates umgehend zu installieren und unerwünschte Links von Fremden zu vermeiden. Google und Apple haben auch die aktuelle Software als zentrale Verteidigung behandelt, da Apple die sechs Schwachstellen, die in der ursprünglichen Darksword-Kette dokumentiert wurden, gepatcht hat.

US-Investoren haben auch Apple wegen gefälschter Wallets verklagt

Für US-Krypto-Inhaber folgt die Darksword-Warnung auf einen separaten Streit über bösartige Wallet-Software, die über Apples offiziellen Marktplatz verbreitet wurde. Drei Investoren reichten eine Bundesklage ein und behaupteten, dass gefälschte Anwendungen, die sich als Sparrow Wallet ausgaben, im App Store erschienen und etwa 1,835 Millionen Dollar an Bitcoin-Verlusten verursacht haben, so frühere Berichterstattung über den Fall.

Die Vorwürfe der Kläger betreffen betrügerische Anwendungen und nicht einen browserbasierten Exploit. Ihr Fall konzentriert sich dennoch auf die Sicherheit von Apples mobilem Vertriebssystem und den finanziellen Schaden, der entstehen kann, wenn Nutzer Software vertrauen, die als legitime Kryptowährungs-Wallet präsentiert wird.

Eine weitere gefälschte Anwendung, die sich als Ledger Live ausgab, soll zwischen dem 7. und 13. April mindestens 9,5 Millionen Dollar von mehr als 50 Opfern gestohlen haben. Der Blockchain-Ermittler ZachXBT verfolgte Gelder von Bitcoin-, Ethereum-, Solana-, Tron- und XRP-Nutzern zu mehr als 150 KuCoin-Einzahlungsadressen und einem Mixing-Service.

Die gefälschte Ledger-Anwendung forderte die Nutzer auf, ihre 24-Wort-Wiederherstellungssätze während eines vermeintlich normalen Wallet-Setups einzugeben. Apple entfernte später die Anzeige, während ein Opfer angab, dass er sie heruntergeladen hatte, während er ein Ledger-Gerät auf einem neuen MacBook einrichtete.

Im Gegensatz zur Darksword-Kette musste die betrügerische Ledger-App nicht die Sicherheitskontrollen des Betriebssystems umgehen. Die Nutzer setzten ihre Wallets dem Risiko aus, indem sie Wiederherstellungssätze in die nachgeahmte Software eingaben, wodurch die Betreiber die Kontrolle über jede Adresse erhielten, die aus diesen Sätzen abgeleitet wurde.