DarkSword: exploit kit per iPhone via watering-hole su siti ucraini, rivela

Nota editoriale: Questo articolo si basa su un'unica fonte primaria strutturata — un reportage di The Record su un avviso del Servizio di Sicurezza e Comunicazione dell'Ucraina (SSSCIP). Non è disponibile una seconda fonte indipendente che verifichi direttamente i dati tecnici. Le informazioni su vulnerabilità specifiche, patch Apple o volumi di compromissione non sono documentate nella fonte.

Il SSSCIP ucraino ha pubblicato un report su campagne di attacco mobile dirette contro militari e funzionari governativi. Al centro dell'allerta c'è DarkSword, un exploit kit progettato per compromettere iPhone tramite vulnerabilità in Safari e iOS, distribuito attraverso watering-hole attacks su siti legittimi. Il report, citato da The Record, indica che l'infezione può avvenire con poca o nessuna interazione dell'utente, e che il malware estrae credenziali, messaggi, contatti e cronologie chiamate in pochi minuti prima di cancellare le proprie tracce.

La catena del watering-hole: quando il sito di fiducia diventa il vettore

La tecnica del watering-hole attack inverte il paradigma dell'ingegneria sociale tradizionale. Invece di indurre la vittima a cliccare su un link malevolo, gli aggressori compromettono direttamente il sito web che l'obiettivo visita abitualmente. Secondo la fonte, DarkSword è stato servito attraverso outlet di notizie regionali, un tribunale locale e un'azienda alimentare ucraina — infrastrutture che non sollevano sospetti nei filtri di sicurezza.

Questo vettore è particolarmente efficace contro dispositivi mobile perché sfrutta la frequenza con cui gli utenti consultano contenuti su browser nativi come Safari. Il report SSSCIP descrive esplicitamente il ruolo di vulnerabilità in Safari browser e iOS come meccanismo di ingresso. La fonte non specifica identificatori CVE, versioni iOS interessate o se Apple abbia rilasciato patch.

DarkSword contro lo spyware persistente: anatomia di un "hit-and-run"

La distinzione operativa riportata da Lookout è netta. A differenza dello spyware progettato per mantenere la presenza sul dispositivo e monitorare l'utente a lungo termine, DarkSword opera con un ciclo di vita compresso. L'estrazione dei dati avviene in pochi minuti, seguita dalla rimozione delle tracce. Questo pattern riduce la finestra di rilevamento per i sistemi di sicurezza endpoint.

"Unlike spyware designed to remain on a phone and monitor its owner over a long period, DarkSword operates more like a 'hit-and-run' operation" — Lookout, citato da The Record

La fonte non specifica i dettagli tecnici del meccanismo di auto-rimozione, né se il processo sfrutti funzioni di sistema legittime o tecniche di anti-forensics dedicate. Rimane inoltre non documentato il volume esatto di dispositivi compromessi.

Attribuzione e contesto nel report SSSCIP

Lookout ha associato DarkSword all'attore UNC6353, con attività documentata contro utenti ucraini a partire da fine 2025 — data riferita all'inizio attività secondo Lookout, non necessariamente all'inizio attività assoluta del gruppo. Il dossier non fornisce elementi che colleghino infrastrutturalmente o operativamente UNC6353 ai gruppi UAC-0244 e UAC-0263.

Questi ultimi sono identificati dal SSSCIP come "relativamente nuovi" e conducono campagne Android distinte: UAC-0244 distribuisce CamelSpy tramite siti che impersonano il 3rd Army Corps ucraino; UAC-0263 impiega BTMOB tramite siti con app finte per allarmi aerei e sconti carburante. Il report SSSCIP li include nel quadro generale delle minacce mobile contro obiettivi ucraini, ma non documenta relazioni operative con DarkSword.

Cosa cambia

Il report SSSCIP non documenta misure correttive specifiche né raccomandazioni operative dettagliate per gli utenti o le amministrazioni interessate. Il dossier non specifica se Apple abbia rilasciato patch per le vulnerabilità sfruttate da DarkSword, né quali versioni iOS o modelli iPhone siano tecnicamente interessati. Non sono presenti indicatori di compromissione (IoC) pubblici nel materiale citato.

Per gli operatori di sicurezza che gestiscono dispositivi iOS in contesti governativi o militari, la fonte non indica azioni specifiche oltre alla consapevolezza del vettore watering-hole. La frequenza degli attacchi mobile è in crescita misurabile: i 3.137 incidenti cyber registrati da CERT-UA nel primo semestre 2026, con l'incremento dell'8%, collocano il mobile nel trend più ampio delle minacce cyber in Ucraina.

La lettura: iOS nel mirino

Il caso DarkSword documentato dal SSSCIP mostra che iPhone è bersaglio di exploit kit strutturati, non solo di spyware commerciale o attacchi opportunistici. Il watering-hole su siti legittimi — news, tribunale, azienda alimentare — elimina la dipendenza dall'ingegneria sociale attiva e sfrutta comportamenti di navigazione routinaria.

La tattica hit-and-run, con estrazione in pochi minuti e auto-rimozione, complica la risposta incidente tradizionale orientata alla persistenza. La fonte non offre dettagli su come rilevare o mitigare tecnicamente questa specifica minaccia.

Come hanno riportato i ricercatori SSSCIP citati da The Record: "The growing role of smartphones in communications among military personnel, government employees and civilians makes them increasingly attractive targets for intelligence gathering, further compromise and financially motivated attacks". [Traduzione dall'inglese]

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://therecord.media/ukraine-ssscip-mobile-malware-warning-ios-android
• https://nvd.nist.gov/vuln
• https://nvd.nist.gov/vuln/search
• https://nvd.nist.gov/vuln/weaknesses
• https://nvd.nist.gov/vuln/data-feeds
• https://nvd.nist.gov/vuln/vendor-comments
• https://nvd.nist.gov/vuln/cvmap