Pesquisadores da iVerify encontraram o P7 DarkSword, variante de um kit de ataque ao iOS que extrai senhas do Keychain, procura carteiras de criptomoedas e recebe comandos à distância. O alvo são iPhones com iOS 18 sem as correções da Apple; manter o aparelho atualizado protege.
O que foi descoberto
A empresa de segurança móvel iVerify revelou em 8 de outubro de 2026 uma nova variante do DarkSword, um kit de ataque a iPhones conhecido desde março. Batizada de P7 DarkSword — por causa do prefixo “p7_” que os autores usaram no código —, a versão foi identificada depois de um alerta, em agosto, sobre uma infecção no aparelho de um cliente da iVerify.
Como o DarkSword funciona
O DarkSword foi divulgado em 18 de março de 2026 pelo grupo de inteligência de ameaças do Google, pela iVerify e pela Lookout. Ele encadeia seis vulnerabilidades do iOS e chega ao aparelho por meio de sites legítimos que foram comprometidos: basta visitar a página com um iPhone vulnerável. Segundo a iVerify, o alvo são aparelhos com iOS 18.4 a 18.7. O Google afirmou que o kit foi usado desde pelo menos novembro de 2025 por fornecedores comerciais de vigilância e por grupos suspeitos de ligação com governos.
O que a nova versão faz
- Deixa menos rastros: elimina registros de depuração e reduz o número de injeções em processos do sistema.
- Rouba o Keychain: extrai no próprio telefone os dados do Keychain, onde o iOS guarda senhas e chaves, para enviá-los aos atacantes.
- Procura carteiras de criptomoedas: verifica quais aplicativos de carteira estão instalados e extrai dados do imToken.
- Recebe ordens à distância: mantém comunicação nos dois sentidos com o servidor dos criminosos, consultado a cada 15 segundos, e aceita comandos para baixar arquivos, copiar fotos, listar aplicativos, varrer o armazenamento e procurar conteúdo em notas e imagens.
Esses dois últimos pontos importam para quem tem criptomoedas: o MacMagazine lembra que versões do ataque já procuravam frases de recuperação de carteiras guardadas no app Fotos e no Notas.
Quem corre risco
O P7 não explora uma falha nova: ele depende das mesmas vulnerabilidades do DarkSword original. A Apple liberou a correção para o iOS 18 no iOS 18.7.7 — publicado em 24 de março e estendido a mais modelos em 1º de abril de 2026 — e afirmou que aparelhos com iOS 26 já estavam protegidos. Correm risco, portanto, os iPhones que ficaram em versões antigas do iOS 18.
Como se proteger
- Atualize o iPhone em Ajustes > Geral > Atualização de Software: de preferência para o iOS 26 ou, se o aparelho continuar no iOS 18, para o 18.7.7 ou posterior.
- Deixe ligadas as atualizações automáticas, na mesma tela.
- Não guarde frases de recuperação de carteiras de criptomoedas em fotos, capturas de tela ou no app Notas.
- Quem é alvo provável de ataques direcionados (jornalistas, executivos, ativistas) pode ativar o Modo de Isolamento, em Ajustes > Privacidade e Segurança.
Contexto
Segundo o The Hacker News, o DarkSword teria sido um produto comercial que acabou em um mercado de segunda mão e passou a ser usado por criminosos com motivação financeira; não há atribuição confirmada a um grupo específico. A iVerify publicou indicadores técnicos que permitem a empresas detectar a variante em seus aparelhos.
Fontes
