A iVerify revelou o P7 DarkSword a 8 de outubro, após investigar uma infeção detetada em agosto. O spyware para iPhone inclui comandos que procuram carteiras de criptomoedas instaladas, extraem dados associados ao imToken e recolhem palavras-passe, fotografias, bases de dados do Apple Notes e outros ficheiros. Por predefinição, contacta um servidor controlado pelo atacante a cada 15 segundos para obter novas instruções.
Porque é importante
A função wallet_scan do P7 identifica aplicações de carteiras num dispositivo comprometido, enquanto wallet_extract visa ficheiros associados ao imToken, uma carteira de criptomoedas multichain. O spyware também processa as credenciais do Apple Keychain num ficheiro JSON no dispositivo antes de as transmitir, o que pode fornecer aos operadores informações de conta mais imediatamente utilizáveis.
A ameaça vai além das aplicações de carteiras. Frases de recuperação ou credenciais financeiras guardadas no Notes, em fotografias ou noutros ficheiros de aplicações também podem ser expostas. No entanto, encontrar ficheiros de uma carteira não dá automaticamente ao atacante controlo sobre as chaves privadas. As transações não autorizadas dependeriam dos dados obtidos e de estes serem suficientes para autorizar transferências.
Impacto no mercado
O P7 representa uma evolução do malware DarkSword instalado depois de um dispositivo já ter sido comprometido, e não uma prova de uma nova vulnerabilidade do iOS. A Google já tinha associado o framework a campanhas dirigidas a utilizadores na Arábia Saudita, Turquia, Malásia e Ucrânia, incluindo atividade de fornecedores comerciais de vigilância e de atacantes suspeitos de terem apoio estatal.
A Apple corrigiu as vulnerabilidades associadas à cadeia de exploração documentada, tendo alargado as proteções através do iOS 18.7.7 a 24 de março de 2026 e a dispositivos adicionais a 1 de abril. A iVerify não identificou quais as versões corrigidas que, eventualmente, continuam vulneráveis. A Apple recomenda utilizar o software compatível mais recente e ativar as atualizações automáticas, enquanto o Lockdown Mode é uma opção adicional quando não é possível atualizar. Não foram divulgados roubos de criptomoedas concluídos, o número de utilizadores afetados nem perdas financeiras.
Perguntas frequentes
-
O que pode o P7 DarkSword recolher de um iPhone comprometido?
O P7 pode identificar aplicações de carteiras, extrair ficheiros associados ao imToken, processar credenciais do Apple Keychain e recolher bases de dados do Notes, fotografias e determinados ficheiros de aplicações.
-
Com que frequência contacta o P7 DarkSword os seus operadores?
Por predefinição, o spyware contacta um servidor controlado pelo atacante a cada 15 segundos. Os operadores podem ajustar o intervalo e solicitar pesquisas ou atividades adicionais de recolha.
-
Encontrar um ficheiro de carteira dá aos atacantes controlo sobre os fundos?
Não. Os ficheiros de uma carteira ou uma aplicação instalada não expõem automaticamente as chaves privadas nem autorizam transferências. O controlo depende das informações que o spyware conseguir obter.
-
O P7 DarkSword é prova de uma nova vulnerabilidade do iPhone?
Não. A investigação descreve spyware instalado depois de um comprometimento bem-sucedido. Não demonstra que o P7 consiga contornar as atualizações de segurança mais recentes do iOS.
-
Como podem os utilizadores de iPhone reduzir o risco do DarkSword?
Os utilizadores devem instalar a versão mais recente do iOS compatível e ativar as atualizações automáticas. A Apple e a Google também recomendam o Lockdown Mode quando não é possível atualizar.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
TheBlock
CoinDesk