DarkSword moltiplica i pannelli per colpire gli iPhone con iOS 18

🛡️ Executive Summary

• DarkSword sfrutta sei vulnerabilità concatenate contro iOS 18.4-18.7 e distribuisce moduli per sottrarre portachiavi, credenziali iCloud, password Wi-Fi e file.
• Censys collega 27 host e 180 proprietà web a un’infrastruttura mobile che riutilizza pannelli identici su provider, Paesi e porte differenti.
• Gli utenti devono aggiornare iOS, attivare Lockdown Mode quando esposti a rischi elevati e diffidare delle pagine Apple ID raggiunte da link esterni.

DarkSword, la catena commerciale di exploit per iPhone trapelata pubblicamente su GitHub, è ormai utilizzata da almeno sette operatori indipendenti e probabilmente da un ottavo gruppo di lingua cinese. Una nuova analisi di Censys collega a quest’ultimo cluster 27 host e 180 proprietà web, distribuiti soprattutto a Hong Kong ma presenti anche in Giappone, Stati Uniti ed Europa. L’infrastruttura ospita falsi accessi AWS e Apple ID, pagine di consegna dell’exploit e almeno tre pannelli amministrativi differenti. La catena colpisce dispositivi con iOS dalla versione 18.4 alla 18.7, installa i moduli GhostBlade e tenta di sottrarre portachiavi, credenziali iCloud, password Wi-Fi e file presenti sul dispositivo.

Un solo hash collega sette pannelli in tre Paesi

L’indagine parte dall’hash SHA-256 del codice HTML restituito dalla pagina di accesso denominata DarkSword Admin. Lo stesso body hash compare su sette server appartenenti a sette autonomous system differenti, distribuiti tra Hong Kong, Giappone e Stati Uniti. I pannelli rispondono su porte non standard come 3000, 8443 e 8888, rendendo poco efficace una ricerca basata esclusivamente su indirizzi, domini o numeri di porta. Cinque dei sette host osservati il 30 luglio non facevano parte del gruppo rilevato una settimana prima, mentre il codice della pagina di login è rimasto invariato.

Il dato mostra una strategia fondata sulla rapida sostituzione dell’infrastruttura: domini e server vengono abbandonati dopo pochi giorni, ma i componenti amministrativi vengono replicati senza modifiche sostanziali. La ricerca tramite body hash diventa quindi più persistente di una normale lista di indicatori IP. Il fenomeno rappresenta l’evoluzione operativa del leak di DarkSword che aveva reso pubblica una catena completa contro iOS, trasformando uno strumento precedentemente controllato in un kit replicabile da soggetti differenti. Secondo Censys, l’operatore analizzato gestisce un’infrastruttura più ampia di quanto indicato dalle etichette automatiche, perché i nuovi host possono rimanere non classificati per diversi giorni prima che vengano riconosciuti.

Sei vulnerabilità portano dalla pagina web al controllo dell’iPhone

La catena DarkSword utilizza sei vulnerabilità concatenate per passare dalla visita a una pagina controllata dagli aggressori all’esecuzione del payload sul dispositivo. Il percorso comprende un exploit contro un driver kernel, il superamento dei filtri MIG, un bypass delle protezioni Pointer Authentication Codes, l’uscita dalla sandbox e ulteriori passaggi necessari per raggiungere privilegi sufficienti all’installazione dell’impianto. La pagina iniziale carica un iframe nascosto che individua la versione di iOS attraverso lo user agent e seleziona il worker compatibile con il dispositivo.

Gli aggressori mantengono build differenti per iOS 18.4, 18.6 e le release intermedie, perché offset e dettagli della memoria cambiano tra gli aggiornamenti. Una volta completato lo sfruttamento, GhostBlade carica moduli dedicati alla copia del portachiavi, all’estrazione delle credenziali iCloud, al recupero delle password Wi-Fi e al download dei file. I dati vengono inviati agli endpoint /stats e /upload, quindi consultati attraverso uno dei pannelli amministrativi. L’operazione termina cancellando crash report e file di log, modificando la pressione della memoria e chiudendo il processo per ridurre le tracce. Il funzionamento conferma quanto emerso nella prima analisi tecnica dell’exploit DarkSword per iOS: non si tratta di una singola vulnerabilità, ma di una sequenza nella quale ogni passaggio rimuove una barriera distinta della sicurezza Apple.

Cento siti mostrano un kit unico adattato alle versioni iOS

Censys ha scaricato e confrontato i file principali della catena da 100 proprietà web osservate nell’aprile 2026. I moduli incaricati di sottrarre portachiavi, dati iCloud, password Wi-Fi e file sono risultati identici byte per byte su tutte le infrastrutture che li distribuivano. Le differenze si concentrano invece nei componenti utilizzati per scegliere la versione dell’exploit: rce_loader.js presenta 14 build distinte, frame.html dieci e i worker RCE da cinque a sette varianti. La distribuzione è coerente con un’unica base di codice adattata alle diverse release di iOS e non con molteplici reimplementazioni indipendenti.

Due fingerprint complete coprono 63 delle 100 proprietà web, mentre le altre versioni formano una coda di modifiche meno diffuse. Quasi metà dei siti analizzati non esponeva al momento della scansione alcun file principale dell’exploit, indicando che una parte consistente dell’infrastruttura viene utilizzata soltanto come esca, redirect o front-end temporaneo. La presenza di un dominio nel cluster non dimostra quindi che la catena fosse attiva in quel preciso momento. Il rapporto tecnico di Censys sull’espansione dei pannelli DarkSword evidenzia che gli elementi più stabili non sono i domini, ma il codice HTML dei pannelli e i moduli del payload rimasti invariati dopo la diffusione pubblica del kit.

Coruna e DarkSword condividono lo stesso server operativo

Uno dei server più rilevanti, osservato a Singapore prima della sua disattivazione, esponeva 21 servizi e ospitava contemporaneamente tre interfacce DarkSword, un pannello Coruna, una console MinIO, MySQL e servizi STUN. Coruna è una catena distinta per iOS, destinata indicativamente alle versioni comprese tra iOS 13 e iOS 17.2.1, ed era stata utilizzata dall’attore monitorato come UNC6353 contro bersagli ucraini prima del passaggio a DarkSword. La coesistenza dei due kit sullo stesso host indica che almeno un operatore mantiene più strumenti offensivi e può selezionare la catena in base alla versione del dispositivo della vittima. Censys non ha tentato di autenticarsi ai pannelli o alla console MinIO e non può stabilire quali informazioni fossero conservate dietro le interfacce. La compresenza resta però un indicatore significativo di gestione comune dell’infrastruttura. Il server è scomparso dal cluster entro il 30 luglio, confermando una rotazione estremamente rapida. Questo modello riduce il valore delle blacklist statiche e richiede controlli basati su contenuti, certificati, strutture delle pagine e comportamenti di rete, soprattutto quando lo stesso operatore sposta le funzioni tra provider e regioni differenti.

Una falsa pagina Apple ID accompagna il furto tecnico

Un server di Hong Kong riunisce sullo stesso indirizzo la pagina di staging dell’exploit, un pannello denominato C2 Control Panel e una falsa schermata di accesso Apple ID. Il decoy riproduce l’interfaccia iCloud con etichette in cinese e consente agli operatori di chiedere direttamente le credenziali alla vittima prima o durante il tentativo di compromissione tecnica. L’unione tra phishing ed exploit aumenta la probabilità di successo: se la catena fallisce perché l’iPhone è aggiornato o non compatibile, la vittima può comunque consegnare volontariamente password e identificativo Apple; se l’exploit riesce, GhostBlade può sottrarre ulteriori credenziali direttamente dal dispositivo. La convergenza è particolarmente coerente con un payload già progettato per copiare il portachiavi e i dati iCloud. Sul pannello compare anche il nome cinese “Asia-Pacific Group” e un collegamento Telegram pubblico, primo canale di contatto diretto associato al cluster. Questi elementi sostengono con moderata confidenza l’ipotesi di un operatore di lingua cinese, ma non permettono di identificarne nazionalità, committenti o relazione con UNC6353. Le pagine di phishing Apple devono essere considerate separatamente dall’attribuzione dell’exploit, perché infrastrutture e kit trapelati possono essere condivisi, rivenduti o riutilizzati.

Gli errori OPSEC espongono strumenti e identità operative

Un host di Francoforte ha esposto pubblicamente una directory contenente .bash_history, il file .ssh/authorized_keys, configurazioni di ffuf e dati della telemetria Go. Il commento associato alla chiave SSH riportava la stringa jkcing@apt, probabilmente generata dal nome utente e dall’hostname della macchina sulla quale era stata creata. Sullo stesso server erano presenti la pagina di staging DarkSword e un secondo pannello chiamato Thorn C2, sviluppato con un codice differente e non attribuito direttamente alla catena iOS. La compresenza suggerisce che l’host fosse utilizzato come ambiente operativo per più progetti, ma Censys considera Thorn C2 soltanto una pista investigativa. Gli errori di sicurezza operativa mostrano il limite di un’infrastruttura costruita e sostituita rapidamente: l’elevato numero di server riduce la continuità degli indicatori, ma aumenta la probabilità di configurazioni errate, directory aperte, certificati correlabili e commenti lasciati nei file. Per i difensori questi artefatti possono diventare più utili dei singoli domini, soprattutto quando vengono combinati con body hash, subject alternative name dei certificati e firme dei file.

Aggiornare iOS resta la difesa principale contro DarkSword

DarkSword prende di mira iOS dalla versione 18.4 alla 18.7, perciò gli iPhone fermi su questi rami devono essere aggiornati all’ultima versione disponibile. Apple ha già distribuito cicli estesi di correzioni, compreso il pacchetto di giugno per iOS, macOS, Safari e WebKit e i successivi aggiornamenti che hanno chiuso vulnerabilità nel kernel, nella sandbox e nei componenti multimediali. Gli utenti esposti a minacce elevate, come giornalisti, diplomatici, attivisti e dirigenti, possono attivare Lockdown Mode, limitando alcune funzionalità frequentemente utilizzate dalle catene mercenary spyware. È necessario evitare accessi Apple ID raggiunti attraverso link ricevuti per messaggio, email o applicazioni sociali e verificare manualmente dominio e origine della pagina. Le organizzazioni devono controllare traffico verso infrastrutture associate all’exploit senza affidarsi soltanto agli IP, poiché gli host ruotano in meno di una settimana. Body hash delle pagine, certificati TLS, percorsi /stats e /upload e caricamento di worker JavaScript specifici possono offrire segnali più persistenti. La rapidità con cui DarkSword è passato dal leak pubblico alla gestione industrializzata da parte di operatori indipendenti dimostra che una catena commerciale, una volta diffusa, non resta confinata al gruppo che l’ha sviluppata.