IVerify reveló P7 DarkSword el 8 de octubre, tras investigar una infección detectada en agosto. El spyware para iPhone incluye comandos que buscan monederos de criptomonedas instalados, extraen datos vinculados a imToken y recopilan contraseñas, fotos, bases de datos de Apple Notes y otros archivos. De forma predeterminada, contacta con un servidor controlado por el atacante cada 15 segundos para recibir nuevas instrucciones.
Por qué es importante
La función wallet_scan de P7 identifica aplicaciones de monedero en un dispositivo comprometido, mientras que wallet_extract busca archivos asociados a imToken, un monedero de criptomonedas multichain. El spyware también procesa las credenciales de Apple Keychain en un archivo JSON en el dispositivo antes de transmitirlo, lo que podría proporcionar a los operadores más información de cuentas utilizable de inmediato.
La amenaza va más allá de las aplicaciones de monedero. Las frases de recuperación o las credenciales financieras almacenadas en Notes, fotos u otros archivos de aplicaciones también podrían quedar expuestas. Sin embargo, encontrar archivos de un monedero no da automáticamente al atacante control sobre las claves privadas. Las transacciones no autorizadas dependerían de los datos recuperados y de si son suficientes para autorizar transferencias.
Impacto en el mercado
P7 representa una evolución del malware DarkSword desplegado después de que un dispositivo ya haya sido comprometido, no una prueba de una nueva vulnerabilidad de iOS. Google había vinculado anteriormente el framework a campañas dirigidas contra usuarios de Arabia Saudí, Turquía, Malasia y Ucrania, incluidas actividades de proveedores comerciales de vigilancia y atacantes presuntamente respaldados por Estados.
Apple ha corregido las vulnerabilidades asociadas a la cadena de explotación documentada. Las protecciones se ampliaron mediante iOS 18.7.7 el 24 de marzo de 2026 y llegaron a dispositivos adicionales el 1 de abril. iVerify no identificó qué versiones corregidas, si quedaba alguna, siguen siendo vulnerables. Apple recomienda utilizar el software compatible más reciente y activar las actualizaciones automáticas, mientras que Lockdown Mode es una opción adicional cuando no es posible actualizar. No se comunicaron robos de criptomonedas consumados, el número de usuarios afectados ni pérdidas económicas.
Preguntas frecuentes
-
¿Qué puede recopilar P7 DarkSword de un iPhone comprometido?
P7 puede identificar aplicaciones de monedero, extraer archivos relacionados con imToken, procesar credenciales de Apple Keychain y recopilar bases de datos de Notes, fotos y determinados archivos de aplicaciones.
-
¿Con qué frecuencia contacta P7 DarkSword con sus operadores?
El spyware contacta con un servidor controlado por el atacante cada 15 segundos de forma predeterminada. Los operadores pueden ajustar el intervalo y solicitar búsquedas o actividades adicionales de recopilación.
-
¿Encontrar un archivo de monedero da a los atacantes control sobre los fondos?
No. Los archivos de un monedero o una aplicación instalada no exponen automáticamente las claves privadas ni autorizan transferencias. El control depende de la información que consiga recuperar el spyware.
-
¿Es P7 DarkSword una prueba de una nueva vulnerabilidad del iPhone?
No. La investigación describe un spyware desplegado después de un compromiso exitoso. No demuestra que P7 pueda evadir las últimas actualizaciones de seguridad de iOS.
-
¿Cómo pueden los usuarios de iPhone reducir el riesgo de DarkSword?
Los usuarios deben instalar la última versión compatible de iOS y activar las actualizaciones automáticas. Apple y Google también recomiendan Lockdown Mode cuando no sea posible actualizar.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
TheBlock
Altcoin Daily