Nuevo spyware para iPhone puede buscar billeteras de criptomonedas y extraer sus datos cada 15 segundos

Los investigadores encontraron una nueva variante de spyware para iPhone que puede extraer de forma remota datos de billeteras de criptomonedas y credenciales sensibles de dispositivos comprometidos.

La firma de seguridad iVerify divulgó el malware, denominado P7 DarkSword, el 8 de octubre tras investigar una infección detectada en agosto. La variante incluye comandos que apuntan específicamente a aplicaciones de billeteras de criptomonedas y puede recopilar contraseñas, fotos e información personal.

El descubrimiento destaca un riesgo emergente para los poseedores de criptomonedas que dependen de billeteras móviles: los atacantes que obtienen acceso al dispositivo subyacente podrían obtener información sensible sin explotar una vulnerabilidad en la propia aplicación de billetera.

Cómo el spyware apunta a las billeteras de criptomonedas

Según la investigación técnica de iVerify, P7 incluye dos funciones dedicadas para identificar y recopilar información relacionada con criptomonedas.

La primera, wallet_scan, busca en dispositivos comprometidos aplicaciones de billetera instaladas, permitiendo a los atacantes identificar posibles objetivos.

La segunda, wallet_extract, está diseñada para recopilar datos asociados con imToken, una billetera de criptomonedas que soporta múltiples redes blockchain.

Juntas, las órdenes permiten a los atacantes identificar a los usuarios de criptomonedas y recuperar archivos relacionados con billeteras después de obtener acceso a sus teléfonos.

El spyware también apunta al llavero de Apple, el sistema utilizado para almacenar contraseñas, credenciales de autenticación y otra información sensible.

Las variantes anteriores de DarkSword copiaron la base de datos del llavero y la transfirieron a una infraestructura controlada por atacantes para su procesamiento.

P7, en cambio, prepara la información extraída del llavero como un archivo JSON directamente en el dispositivo comprometido antes de transmitirla.

Esta modificación cambia la forma en que el malware procesa las credenciales recopiladas y podría proporcionar a los atacantes información más utilizable de inmediato una vez que los datos lleguen a sus servidores.

La amenaza se extiende más allá de las aplicaciones de billeteras de criptomonedas en sí.

P7 puede recopilar bases de datos de Notas de Apple, fotografías y archivos de aplicaciones seleccionadas. Estas fuentes pueden contener información financiera sensible, incluidas frases de recuperación o credenciales de billetera si los usuarios las han almacenado allí.

Sin embargo, obtener archivos de billetera o descubrir una aplicación instalada no establece automáticamente el control sobre sus claves privadas. El potencial para transacciones no autorizadas depende de qué información el malware logre recuperar con éxito y si es suficiente para autorizar transferencias.

Un desarrollo más significativo es la capacidad de control remoto ampliada del spyware.

En lugar de depender completamente de un proceso de recopilación predeterminado, P7 se comunica con un servidor controlado por atacantes cada 15 segundos por defecto, solicitando instrucciones que pueden ejecutarse en el teléfono infectado.

Los operadores pueden ajustar ese intervalo, buscar archivos específicos e iniciar actividades de recopilación adicionales sin requerir otra violación del dispositivo.

Los investigadores también identificaron modificaciones destinadas a hacer que el spyware sea más difícil de detectar y más confiable.

Estas incluyen la eliminación de ciertos registros de diagnóstico, la reducción del número de inyecciones de procesos y el uso de almacenamiento del navegador para evitar intentos de explotación repetidos que podrían desestabilizar el dispositivo infectado.

Los cambios indican un cambio hacia una recopilación más dirigida y sostenida de información sensible, lo que podría permitir a los atacantes investigar la actividad financiera de una víctima después de obtener acceso.

Aún así, iVerify no divulgó evidencia de un robo de criptomonedas completado, no identificó cuántos usuarios de billeteras se vieron afectados ni cuantificó ninguna pérdida financiera.

Las correcciones de seguridad anteriores de Apple enfrentan una amenaza en evolución

El descubrimiento sigue meses de esfuerzos para contener DarkSword, un marco de explotación de iPhone utilizado anteriormente por múltiples operadores de vigilancia.

En marzo, el Grupo de Inteligencia de Amenazas de Google informó que DarkSword combinó seis vulnerabilidades para comprometer iPhones que ejecutan ciertas versiones de iOS 18.4 a 18.7.

Google identificó campañas que involucraban a proveedores de vigilancia comercial y atacantes sospechosos respaldados por el estado que apuntaban a usuarios en Arabia Saudita, Turquía, Malasia y Ucrania.

El marco permitió a los atacantes explotar dispositivos vulnerables a través de contenido web malicioso y posteriormente desplegar software capaz de extraer información personal y financiera, incluidos datos de billeteras de criptomonedas.

Sin embargo, P7 representa una evolución del spyware desplegado después de una violación exitosa en lugar de la confirmación de una nueva vulnerabilidad en el sistema operativo de Apple.

Apple ya ha abordado las vulnerabilidades asociadas con la cadena de explotación de DarkSword documentada.

Según el aviso de seguridad de la compañía, las protecciones relevantes estuvieron disponibles por primera vez en 2025.

Apple lanzó posteriormente iOS 18.7.7 el 24 de marzo de 2026, ampliando la disponibilidad a dispositivos adicionales el 1 de abril para proteger a los usuarios que aún utilizan versiones más antiguas del sistema operativo.

Esas protecciones son importantes porque las capacidades que iVerify descubrió dependen de que los atacantes primero comprometan un dispositivo.

La investigación de octubre no establece que P7 pueda eludir las últimas actualizaciones de seguridad de iOS, y los investigadores no publicaron una evaluación específica de la variante que identifique qué versiones parcheadas siguen siendo vulnerables.

Aún así, Apple recomienda instalar el software compatible más reciente y habilitar las actualizaciones automáticas, mientras que la investigación anterior de DarkSword de Google también recomendó el Modo de Bloqueo cuando la actualización no es posible.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.