IVerify legte P7 DarkSword am 8. Oktober offen, nachdem das Unternehmen eine im August entdeckte Infektion untersucht hatte. Die iPhone-Spyware enthält Befehle, die installierte Kryptowährungs-Wallets scannen, mit imToken verknüpfte Daten auslesen sowie Passwörter, Fotos, Apple-Notizen-Datenbanken und andere Dateien sammeln. Standardmäßig kontaktiert sie alle 15 Sekunden einen von Angreifern kontrollierten Server, um neue Anweisungen abzurufen.
Warum das wichtig ist
P7s wallet_scan-Funktion identifiziert Wallet-Anwendungen auf einem kompromittierten Gerät, während wallet_extract auf Dateien abzielt, die mit imToken, einer Multichain-Kryptowährungs-Wallet, verbunden sind. Die Spyware verarbeitet außerdem die Apple-Keychain-Zugangsdaten auf dem Gerät zu einer JSON-Datei und überträgt diese anschließend. Dadurch könnten die Betreiber schneller nutzbare Kontoinformationen erhalten.
Die Bedrohung geht über Wallet-Apps hinaus. Auch Recovery-Phrases oder Finanzzugangsdaten, die in Notizen, Fotos oder Dateien anderer Anwendungen gespeichert sind, könnten offengelegt werden. Das Auffinden von Wallet-Dateien verschafft einem Angreifer jedoch nicht automatisch die Kontrolle über private Schlüssel. Unbefugte Transaktionen würden davon abhängen, welche Daten abgerufen werden und ob sie zur Autorisierung von Überweisungen ausreichen.
Auswirkungen auf den Markt
P7 ist eine Weiterentwicklung der DarkSword-Malware, die eingesetzt wird, nachdem ein Gerät bereits kompromittiert wurde. Sie ist kein Beleg für eine neue iOS-Sicherheitslücke. Google hatte das Framework zuvor mit Kampagnen gegen Nutzer in Saudi-Arabien, der Türkei, Malaysia und der Ukraine in Verbindung gebracht. Dazu gehörten Aktivitäten kommerzieller Überwachungsanbieter und mutmaßlich staatlich unterstützter Angreifer.
Apple hat die mit der dokumentierten Angriffskette verbundenen Schwachstellen behoben. Der Schutz wurde am 24. März 2026 mit iOS 18.7.7 ausgeweitet und am 1. April auf weitere Geräte erweitert. iVerify stellte nicht fest, welche gepatchten Versionen möglicherweise noch verwundbar sind. Apple empfiehlt die neueste kompatible Software und automatische Updates. Der Sperrmodus ist eine zusätzliche Option, wenn eine Aktualisierung nicht möglich ist. Es wurden weder ein erfolgreicher Kryptowährungsdiebstahl noch die Zahl betroffener Nutzer oder ein finanzieller Schaden offengelegt.
Häufig gestellte Fragen
-
Welche Daten kann P7 DarkSword von einem kompromittierten iPhone sammeln?
P7 kann Wallet-Apps identifizieren, mit imToken verbundene Dateien auslesen, Apple-Keychain-Zugangsdaten verarbeiten sowie Notizen-Datenbanken, Fotos und ausgewählte Anwendungsdateien sammeln.
-
Wie oft kontaktiert P7 DarkSword seine Betreiber?
Die Spyware kontaktiert standardmäßig alle 15 Sekunden einen von Angreifern kontrollierten Server. Die Betreiber können das Intervall anpassen und Suchvorgänge oder zusätzliche Datensammlungen anfordern.
-
Verschafft eine gefundene Wallet-Datei Angreifern die Kontrolle über die Guthaben?
Nein. Wallet-Dateien oder eine installierte Anwendung legen private Schlüssel nicht automatisch offen und autorisieren keine Überweisungen. Die Kontrolle hängt davon ab, welche Informationen die Spyware abruft.
-
Ist P7 DarkSword ein Beleg für eine neue iPhone-Sicherheitslücke?
Nein. Die Untersuchung beschreibt Spyware, die nach einer erfolgreichen Kompromittierung eingesetzt wird. Sie belegt nicht, dass P7 die neuesten iOS-Sicherheitsupdates umgehen kann.
-
Wie können iPhone-Nutzer das Risiko durch DarkSword verringern?
Nutzer sollten die neueste kompatible iOS-Version installieren und automatische Updates aktivieren. Apple und Google empfehlen außerdem den Sperrmodus, wenn eine Aktualisierung nicht möglich ist.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
CoinDesk