IVerify a révélé l'existence de P7 DarkSword le 8 octobre, après avoir enquêté sur une infection détectée en août. Le logiciel espion pour iPhone comprend des commandes qui recherchent les portefeuilles de cryptomonnaies installés, extraient les données liées à imToken et récupèrent les mots de passe, les photos, les bases de données Apple Notes ainsi que d'autres fichiers. Par défaut, il contacte un serveur contrôlé par l'attaquant toutes les 15 secondes pour recevoir de nouvelles instructions.
Pourquoi c'est important
La fonction wallet_scan de P7 identifie les applications de portefeuille présentes sur un appareil compromis, tandis que wallet_extract cible les fichiers associés à imToken, un portefeuille de cryptomonnaies multichaîne. Le logiciel espion traite également les identifiants du Keychain d'Apple dans un fichier JSON sur l'appareil avant de les transmettre, ce qui pourrait fournir aux opérateurs davantage d'informations de compte immédiatement exploitables.
La menace dépasse le cadre des applications de portefeuille. Les phrases de récupération ou les identifiants financiers stockés dans Notes, les photos ou d'autres fichiers d'application pourraient également être exposés. La découverte de fichiers de portefeuille ne donne toutefois pas automatiquement à un attaquant le contrôle des clés privées. Des transactions non autorisées dépendraient des données récupérées et de leur capacité à autoriser des transferts.
Impact sur le marché
P7 représente une évolution du logiciel malveillant DarkSword déployé après la compromission d'un appareil, et non la preuve d'une nouvelle vulnérabilité iOS. Google avait précédemment établi un lien entre ce framework et des campagnes visant des utilisateurs en Arabie saoudite, en Turquie, en Malaisie et en Ukraine, notamment des activités menées par des fournisseurs de surveillance commerciale et des attaquants présumés soutenus par des États.
Apple a corrigé les vulnérabilités associées à la chaîne d'exploitation documentée. Les protections ont été étendues avec iOS 18.7.7 le 24 mars 2026, puis à des appareils supplémentaires le 1er avril. iVerify n'a pas précisé quelles versions corrigées, le cas échéant, restaient vulnérables. Apple recommande d'installer la dernière version compatible et d'activer les mises à jour automatiques. Le mode Isolement constitue une option supplémentaire lorsqu'une mise à jour n'est pas possible. Aucun vol de cryptomonnaies abouti, nombre d'utilisateurs touchés ou perte financière n'a été communiqué.
Questions fréquemment posées
-
Que peut récupérer P7 DarkSword sur un iPhone compromis ?
P7 peut identifier les applications de portefeuille, extraire les fichiers liés à imToken, traiter les identifiants du Keychain d'Apple et récupérer les bases de données Notes, les photos ainsi que certains fichiers d'application.
-
À quelle fréquence P7 DarkSword contacte-t-il ses opérateurs ?
Par défaut, le logiciel espion contacte un serveur contrôlé par l'attaquant toutes les 15 secondes. Les opérateurs peuvent modifier cet intervalle et demander de nouvelles recherches ou activités de collecte.
-
La découverte d'un fichier de portefeuille donne-t-elle aux attaquants le contrôle des fonds ?
Non. Les fichiers de portefeuille ou une application installée n'exposent pas automatiquement les clés privées et n'autorisent pas les transferts. Le contrôle dépend des informations récupérées par le logiciel espion.
-
P7 DarkSword est-il la preuve d'une nouvelle vulnérabilité de l'iPhone ?
Non. L'enquête décrit un logiciel espion déployé après une compromission réussie. Elle n'établit pas que P7 contourne les dernières mises à jour de sécurité iOS.
-
Comment les utilisateurs d'iPhone peuvent-ils réduire le risque lié à DarkSword ?
Les utilisateurs doivent installer la dernière version compatible d'iOS et activer les mises à jour automatiques. Apple et Google recommandent également le mode Isolement lorsqu'une mise à jour n'est pas possible.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
TheBlock
CoinDesk