LIMB
Вход Регистрация

тема

Свежий увод крипты с айфонов

youaretheone · · 10 ответов · 915 просмотров

К разделу
Китайцы там че то замутили в пару строчек кода, инжектят лом, и все кто с сафари заходил на скомпрометированные сайты лишаются крипты с кошельков
Не удалось прогрузить медиа


Не удалось прогрузить медиа


Не удалось прогрузить медиа
👍85 ❤️17 😁22 💯12
ну и на что тут смотреть? я понимаю ты бы ссылку на этот инструмент приложил или показал на практике как работает
👍2
Откуда эти скрины взяты?
ОтветMisterBrown

ну и на что тут смотреть? я понимаю ты бы ссылку на этот инструмент приложил или показал на практике как работает

Тема для обсуждения вообще-то
👍1

 iPhone-эксплойт-цепочки DarkSword / Coruna​

​

  1. Вход через Safari
    Жертва заходит с iPhone на скомпрометированный/фиш-сайт или получает вредоносную веб-страницу через рекламу/ссылку/WebView внутри dApp. Иногда страница сама перекидывает из другого браузера в Safari, потому что цепочка заточена под WebKit + JavaScriptCore.
  2. Пробивается песочник WebKit
    Используются уязвимости памяти в WebKit / JSC (часть из них уже закрыты в свежих iOS: CVE-2025-24201, CVE-2025-31200 и др., но на необновлённых телефонах они живы). Это даёт RCE в контексте браузерного процесса.
  3. Escalation: sandbox escape → kernel
    Дальше идёт эскалация привилегий, обход PAC, выход из sandbox, получение kernel-level доступа. После этого код может доставать данные из iOS Keychain, файлов приложений, записывать ввод и т.д.
  4. Пост-эксплойт: Coruna / SpringBoard injection
    В некоторых вариантах DarkSword ставит модуль вроде Coruna: инжектится в SpringBoard или прямо в процесс запущенного кошелька (MetaMask, Trust Wallet, Coinbase Wallet, Phantom, Exodus, imToken, Tonkeeper и др.). Модуль сканирует:
    • Keychain
    • Apple Notes
    • Фото (скриншоты/заметки с сид-фразами)
    • Локальные файлы кошельков
    • BIP39-строки с проверкой контрольной суммы
    Если находит сид/приватник — уходит на C2 и потом сливают крипту.

Исследователи в области кибербезопасности обнаружили ранее неизвестный вариант набора эксплойтов для iOS  DarkSword — «P7 DarkSword»​


В отчете, опубликованном в четверг, компания iVerify сообщила: «По сравнению с вариантами, которые мы обычно наблюдаем, P7 оставляет меньше следов на устройстве, обладает расширенными возможностями для кражи данных из локальной связки ключей (keychain) и криптовалютных кошельков, а также поддерживает двустороннюю связь с инфраструктурой злоумышленников (командно-контрольный сервер — C2)».

Название «P7» было выбрано потому, что при модификации исходного кода DarkSword злоумышленники использовали префикс «p7_» для имен переменных.

Предыстория​


В марте этого года группы Google Threat Intelligence Group (GTIG), iVerify и компания Lookout впервые публично описали DarkSword, отметив его способность взламывать iPhone, работающие под управлением iOS версий 18.4–18.7. Было зафиксировано, что этот набор эксплойтов использовался в реальных атаках еще в ноябре 2025 года.

Данный набор объединяет несколько уязвимостей iOS, что позволяет выйти за пределы «песочницы» браузера, повысить привилегии до уровня ядра системы и внедрить основную полезную нагрузку в процесс «SpringBoard» — компонент iOS, отвечающий за запуск приложений и работу главного экрана. 

По оценкам исследователей, изначально этот набор эксплойтов был коммерческим продуктом, который впоследствии попал на вторичный рынок, где его приобрели злоумышленники, преследующие финансовую выгоду, и другие киберпреступные группировки (начиная с конца 2025 года).

С тех пор набор эксплойтов использовался различными злоумышленниками для проведения атак; пострадавшие были выявлены в Саудовской Аравии, Турции, Малайзии и Украине. В частности, турецкий поставщик коммерческих средств слежения, компания PARS Defense, применяла этот инструмент в атаках с использованием веб-сайтов, имитирующих Snapchat, а пророссийская группировка Star Blizzard (также известная как COLDRIVER) использовала поддельные приглашения в качестве приманки.


Обновление малвари, новая кампания атак в октябре​


В августе 2026 года платформа Censys, занимающаяся управлением поверхностью атаки, сообщила о кампании, организованной неизвестной группировкой, участники которой говорят по-китайски. Помимо использования набора эксплойтов для взлома устройств Apple, в ходе этой кампании применялись фишинговые страницы, имитирующие форму входа в Apple ID. 
Компания iVerify сообщила, что еще в прошлом месяце были зафиксированы «несколько неудачных попыток обновления фреймворка — возможно, с использованием большой языковой модели (LLM), — направленных на обеспечение поддержки iOS версии 26.x». Инструментарий для эксплуатации уязвимостей попал в открытый доступ вскоре после его публичного раскрытия, что и послужило непосредственным толчком к попыткам его обновления.


Оптимизации в этих вариантах затрагивают три аспекта: повышение стабильности работы, усиление скрытности и улучшение качества похищаемых данных. Примером такой реализации служит «P7 DarkSword»: в нем удалены отладочные логи из HTTP-запросов и системного журнала (syslog), а также используется механизм localStorage браузера, что позволяет избежать повторного использования одного и того же устройства. 

Если в более ранних версиях вся база данных «связки ключей» (keychain) просто копировалась и передавалась на инфраструктуру злоумышленников для последующей обработки, то в новой версии данные из «связки ключей» извлекаются и преобразуются в формат JSON непосредственно на устройстве перед отправкой.


Часть 01​


Внедрение импланта в процесс SpringBoard. 
Поддержка более десятка типов команд для удаленного управления

По заявлению iVerify: «После внедрения импланта в процесс SpringBoard все взаимодействие с инфраструктурой злоумышленников осуществляется именно через этот процесс».


Эта новейшая версия опрашивает сервер на наличие команд каждые 15 секунд, а также может отправлять «сигналы контроля активности» (heartbeat) вместе со списком установленных приложений. Кроме того, она способна похищать данные из «связки ключей» iCloud, а также информацию из таких приложений, как Apple Notes, «Фото» и криптовалютные кошельки. Ответы, получаемые устройством в ходе периодических опросов, содержат команды для выполнения на телефоне жертвы. Доступны следующие функции:

  • execute_command: выполнение команд операционной системы, таких как ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat, whoami и др.

  • ls: вывод содержимого директории.

  • download: чтение локальных файлов с устройства и их передача на C2-сервер (сервер управления).

  • photos: передача на сервер файлов фотографий, расположенных в директории /var/mobile/Media/DCIM.

  • apps: перечисление контейнеров приложений и извлечение их идентификаторов (bundle ID). exec: Выполняет произвольный код JavaScript непосредственно в среде исполнения импланта.

  • file_upload: Рекурсивно сканирует один или несколько путей и загружает файлы, соответствующие заданным критериям.

  • basic_info: Отправляет метаданные устройства на сервер управления (C2-сервер).

  • disk_scan: Рекурсивно сканирует файловую систему, начиная с корневого каталога (/), собирает метаданные о файлах, директориях и символических ссылках, а затем отправляет эту информацию в виде отчета.

  • ios_app_data: Находит «песочницу» (sandbox) приложения и контейнеры групп приложений, связанные с конкретным идентификатором пакета (bundle ID), после чего загружает выбранные файлы приложения.

  • wallet_scan: Выполняет поиск установленных на устройстве приложений-криптокошельков.

  • wallet_extract: Извлекает данные, относящиеся к приложению-криптокошельку imToken.

  • memo_scan: Загружает базу данных приложения Apple Notes («Заметки»).

  • photo_scan: Загружает изображения из приложения Apple Photos («Фото»).

  • sleep: Изменяет интервал опроса (beacon polling interval) — частоту обращений импланта к серверу управления.

  • exit: Завершает цикл работы импланта и останавливает его выполнение.

Часть 02​


Следы вредоносной активности, обнаруженные на пяти хостах

Одновременно с этой публикацией компания Censys сообщила об обнаружении открытых директорий на пяти хостах, содержащих компоненты, связанные с инструментариями «DarkSword» и «Coruna». 

Coruna — это еще один набор инструментов для эксплуатации уязвимостей в iOS (обнаруженный ранее в этом году), который используется для атак на iPhone под управлением iOS версий 13.0–17.2.1. 
В Censys отмечают: «Coruna выступает в качестве дополнительного набора инструментов (полезной нагрузки), распространяемого в рамках той же киберпреступной экосистемы. После завершения этапа эксплуатации уязвимости, за который отвечает DarkSword, в сеансе браузера жертвы запускается этап атаки с использованием Coruna. 

Входящий в ее состав модуль для кражи содержимого криптокошельков способен извлекать из приложений iOS фразы для восстановления доступа (seed-фразы), информацию о балансе и данные хранилищ ключей (keystore). Как правило, злоумышленники используют DarkSword и Coruna в связке, подключая их к собственной инфраструктуре управления (C2) для проведения атак».

Не удалось прогрузить медиа


Ниже приведены подробные сведения о пяти хостах:


43.134.165[.]205: На этом хосте размещен DS-Fusion v1.0 (также известный как DarkSword Fusion) — комплексный инструментарий, объединяющий в себе DarkSword и Coruna.

166.88.95[.]90: Выполняет функции C2-сервера (сервера управления) для имплантов. 6 сентября 2026 года было зафиксировано, как два реальных iOS-устройства из Китая (с IP-адресами 183.154.173[.]30 и 182.239.114[.]223 соответственно) в течение нескольких часов подряд каждые 3 секунды обращались к странице маяка (beacon page).

23.148.212[.]237: Используется в качестве рабочей среды для анализа. Согласно логам, злоумышленники разрабатывали цепочки эксплойтов, предназначенные для iOS 26 (например, CVE-2026-31001) — уязвимости, которые не охвачены существующими инструментариями DarkSword и Coruna.

47.102.192[.]23: Служит промежуточным хостом (staging host) для инструментария Coruna.

156.239.230[.]120: Предоставляет доступ к полноценной C2-платформе. 15 сентября 2026 года исследователи зафиксировали, как эта платформа отправляла на устройство инструкции для опроса (polling instructions).

Анализ записей об эксплойтах на рабочих серверах показал, что инструментарий DarkSword содержит две ранее не задокументированные уязвимости (CVE):


  1. CVE-2025-24201: Уязвимость типа «запись за пределами буфера» (out-of-bounds write) в движке WebKit, которую злоумышленники могут использовать для выхода из «песочницы» веб-контента (исправлена компанией Apple в iOS 18.3.2 и iPadOS 18.3.2). 
  2. CVE-2025-31200: уязвимость, связанная с повреждением памяти (memory corruption) в инфраструктуре Core Audio. Она может привести к выполнению произвольного кода, когда устройство обрабатывает аудиопоток из специально подготовленного вредоносного медиафайла (исправлено компанией Apple в версиях iOS 18.4.1 и iPadOS...). (Данная уязвимость была устранена в версии 18.4.1.)

Исследователи предполагают, что упомянутая выше группа открытых каталогов и платформа, расположенная по адресу 156.239.230[.]120, управляются китайскоязычными злоумышленниками, чья цель — кража данных криптовалютных кошельков. Впрочем, точная личность атакующих пока не установлена.

Эйдан Холланд, исследователь из компании Censys, отмечает: 
«Эта платформа функционирует в китайскоязычном сегменте как сервис по предоставлению эксплойтов (модель "exploit-as-a-service").
Наличие административной панели указывает на использование агентской схемы или модели перепродажи. В обнаруженной копии рабочего сервера исследователи нашли 11 наборов сид-фраз (seed phrases) жертв, 179 каталогов с украденными данными устройств, а также список из 75 учетных записей в панели управления».

Специалисты Censys также выявили еще одного злоумышленника из Китая, который использует тот же инструментарий для связи со своим собственным командным сервером (C2-сервером) — «66ds[.]lol». В числе целей этого атакующего оказался криптовалютный кошелек BitKeep, который ранее не встречался в образцах данных, найденных в открытых каталогах. Эти факты свидетельствуют о том, что данный инструментарий стремительно распространяется среди киберпреступников, движимых финансовой выгодой.

В Censys добавили:
«Злоумышленники пользуются услугами хостинг-провайдера Tencent, а также провайдеров, базирующихся в Шэньяне. Проанализировав уникальный самоподписанный сертификат, исследователи смогли связать эти действия с одним и тем же лицом или группировкой».
👍3
ну там сам факт пробива интересен, жертва прост заходит с сафари на скомпрометированный сайт и п ц)
👍1
Ответ
Сообщение: youaretheone
ну там сам факт пробива интересен, жертва прост заходит с сафари на скомпрометированный сайт и п****ц)



А...еще детальней. Описывают так:

Сайт под пробив защиты:WebKit / JavaScriptCore (первая дыра)​

Safari рендерит страницу через движок WebKit, JS исполняется через JavaScriptCore (JSC).

В них ищут memory-corruption баги:

  • OOB read/write (выход за границы памяти),
  • UAF (use-after-free),
  • JIT-уязвимости (обход JIT-изоляции).
Через такой баг вредоносный JS получает:

  • произвольное чтение/запись в память процесса WebContent,
  • контроль над объектами JSC,
  • возможность исполнять нативный код внутри процесса браузера.
Это уже RCE в контексте Safari, но пока ещё «в клетке» (sandbox).

Обход PAC (Pointer Authentication Codes)​

Apple Silicon подписывает указатели на функции через PAC, чтобы нельзя было просто перезаписать указатель и прыгнуть куда хочешь.

В цепочках типа DarkSword:

  • находят место, где структура dyld / JIT-область оказывается доступна для перезаписи без корректной PAC-проверки,
  • или манипулируют состоянием треда (thread state), чтобы сбросить часть защит,
  • обходят SPRR / JIT-cage на уровне практического эксплойта.
Итог: код может делать native call, а не просто крутиться в JS-песочнице.

4. Sandbox escape: из процесса Safari → в системный процесс​

Процесс Safari (WebContent) изолирован. Чтобы достать данные других аппов — нужно выйти.

Для этого берут баг уровня:

  • GPU-процесса (ANGLE / IOKit),
  • AppleM2ScalerCSCDriver / медиа-демонов,
  • или другой системный вектор.
Цепочка делает:

  1. RCE в WebContent
  2. → pivot в GPU/media процесс
  3. → escape из браузерного sandbox
  4. → доступ к более широким системным API

5. Kernel privilege escalation​

Дальше нужен баг в XNU kernel (или IOKit-драйвере):

  • COW-атака на страницы ядра,
  • OOB в драйвере,
  • манипуляция task ports / vm_map.
После этого у атакующего:

  • чтение/запись в память ядра,
  • полный контроль над процессами,
  • возможность инжектить код в любой системный процесс (SpringBoard, configd, wifid, securityd).

6. Что забирают у кошелька​

Когда есть kernel / system-level:

  • iOS Keychain (пароли, токены, часть данных кошельков)
  • Файлы аппов: /Containers/Data/... у Trust Wallet / MetaMask / Phantom / Tonkeeper и т.д.
  • Apple Notes, Фото, скриншоты — ищут BIP39-фразы
  • QR-коды из фоток (где могли сфоткать сид)
  • Clipboard, бэкапы, кэши аппа
Модуль вроде Coruna / GHOSTBLADE:

  • сканирует строки по regex + BIP39 checksum,
  • не тащит весь мусор, а только валидные сид-фразы,
  • шифрует и шлёт на C2 раз в N секунд.

7. Почему «горячий кошелёк на iPhone» не спасает​

Логика простая:

  • ключ должен быть доступен аппу, чтобы подписать транзакцию,
  • значит, ключ лежит в адресном пространстве аппа / Keychain / памяти,
  • если взломан OS, то апп не может спрятать ключ от OS.
Hardware-кошелёк не страдает, потому что приватник физически никогда не попадает в iPhone — там только подписанная транзакция.


и др

👍3
Не удивлен что за этим стоят китайцы, впереди планеты всей
Да и обычный обыватель никак бы не догадался о том что может что-то словить серфя свои любимые сайтики.
👍3
Кстати PoC есть на гитхабе под эти CVE. 
Сплоиту уже как год по сути
Странно что только сейчас об атаках заговорили
И по поводу пары строк - это касается только самого iframe который на сайты встраивают, на деле эксплоит довольно сложный и большой, так как там неплохая такая цепочка получается
Но прикольно и интересно что все это через обычный JS код собранный через WebPack делается
И там по сути много возможностей, вплоть до записи звука
👍4 ❤️1

Гостевой просмотр. Чтобы отвечать и ставить реакции, войдите или зарегистрируйтесь.