Il 19 marzo 2026 Google Threat Intelligence Group (GTIG) ha pubblicato il report su DarkSword, un exploit kit iOS full-chain scoperto in coordinamento con Lookout e iVerify. Il kit sfrutta sei vulnerabilità concatenate — di cui tre zero-day — per compromettere iPhone da remoto attraverso il browser. Apple aveva già rilasciato patch in iOS 26.3; il 1 aprile 2026 ha pubblicato il backport iOS 18.7.7 per dispositivi che non accedono alla major release più recente. Tre gruppi di threat actor indipendenti hanno adottato lo stesso framework con payload diversi.
- L'intera catena di exploit è scritta in JavaScript, senza binari compilati, e sfrutta sei vulnerabilità concatenate per ottenere esecuzione di codice in JavaScriptCore e deploy di payload finali.
- Tre famiglie di malware distinte — GHOSTKNIFE, GHOSTSABER e GHOSTBLADE — sono state distribuite da altrettanti gruppi con obiettivi geografici diversi: Arabia Saudita, Turchia, Malaysia e Ucraina.
- L'attività è documentata da novembre 2025, con il primo cluster identificato (UNC6748) che usava un sito a tema Snapchat per il targeting.
- Apple ha rilasciato patch in iOS 26.3 e un backport 18.7.7 dell'1 aprile 2026; circa un quarto degli iPhone globali aveva versioni vulnerabili nel range 18.4-18.7.
La catena JavaScript che aggira le difese iOS
DarkSword è progettato per funzionare interamente nel browser. Secondo l'analisi GTIG, riportata da Cyber Security 360, l'exploit kit non richiede il download di applicazioni o profili di configurazione: l'intera catena transita attraverso JavaScript eseguito in WebKit.
Il meccanismo è modulare e versionato. GTIG ha recuperato file con naming esplicito: rce_worker_18.4.js, rce_worker_18.6.js, rce_worker_18.7.js, ciascuno contenente l'exploit adattato alla specifica build iOS. Questa architettura consente agli operatori di aggiornare singoli moduli senza riscrivere l'intera catena.
Le sei vulnerabilità coprono il percorso di compromissione. GTIG documenta esecuzione di codice in JavaScriptCore come punto di ingresso; il report non dettaglia pubblicamente le fasi successive della catena. Tre di queste flaw erano zero-day al momento della scoperta, ignote ad Apple.
Tre gruppi, tre payload, tre teatri operativi
La proliferazione di DarkSword tra attori indipendenti segue un pattern che GTIG aveva osservato con il precedente kit Coruna. La differenza è nella diversificazione degli adottanti.
"DarkSword supports iOS versions 18.4 through 18.7 and utilizes six different vulnerabilities to deploy final-stage payloads" — Google Threat Intelligence Group
Il primo gruppo documentato, UNC6748, è attivo dall'inizio di novembre 2025. Ha utilizzato il sito snapshare[.]chat, con tema e interfaccia copiati da Snapchat, per indirizzare vittime in Arabia Saudita verso l'exploit. GTIG nota che UNC6748 ha tentato redirect verso Chrome, ma al momento non disponeva di catena compatibile per quel browser.
PARS Defense, vendor di sorveglianza commerciale con base in Turchia, opera con standard OPSEC elevati. Il suo payload, GHOSTSABER, è stato rilevato in Turchia e Malaysia. Il terzo attore, UNC6353, è un gruppo di cui GTIG sospetta una connessione russa: ha precedentemente usato il kit Coruna e ha ora migrato a DarkSword per campagne in Ucraina.
Ciascun gruppo mantiene il proprio payload finale. GHOSTKNIFE, attribuito a UNC6748, è scritto in JavaScript. Secondo GTIG, presenta moduli per l'esfiltrazione di diversi tipi di dati, inclusi account attivi, messaggi, dati di navigazione, cronologia di posizione e registrazioni. Il report GTIG utilizza modali cautelativi ("could", "may") per queste capacità, non presentandole come confermate in ogni istanza.
Il paradosso del backport: sicurezza confermata, frammentazione esposta
Apple ha corretto le vulnerabilità con il rilascio di iOS 26.3. Il parco dispositivi con versioni 18.x — stimato in circa un quarto degli iPhone globali — rimaneva esposto per chi non avesse aggiornato o non potesse farlo per vincoli hardware.
Il 1 aprile 2026 Apple ha pubblicato iOS e iPadOS 18.7.7, descritto come backport per "important security protections from web attacks called DarkSword". La dichiarazione segnala che le correzioni associate a DarkSword erano state "first shipped in 2025". L'advisory non specifica quali delle CVE elencate siano strettamente parte del kit e quali siano fix indipendenti rilasciati nella stessa release.
Questa dualità — patch rapida per iOS 26, backport tardivo per iOS 18 — illustra una tensione strutturale dell'ecosistema Apple. I dispositivi legacy, spesso funzionalmente adeguati per gli utenti, accumulano ritardi critici nella ricezione di protezioni contro exploit attivamente sfruttati.
GTIG ha integrato i domini di consegna identificati nel database Safe Browsing di Google. La misura riduce la probabilità di infezione su domini già classificati, ma non elimina il rischio su infrastrutture nuove o rotanti.
Cosa fare adesso
- Aggiornare a iOS 26.3 o, per dispositivi non compatibili, a iOS 18.7.7, disponibile dal 1 aprile 2026.
- Verificare che l'aggiornamento automatico sia attivo: Apple ha indicato che iOS 18.7.7 viene distribuito automaticamente agli utenti con l'opzione abilitata.
- Il report GTIG, unica fonte primaria strutturata con dettagli tecnici su DarkSword, non elenca mitigazioni specifiche oltre l'aggiornamento del sistema operativo.
Perché il mercato degli exploit iOS sta cambiando
Nota dell'editore: questa sezione contiene analisi basate sul report GTIG, non evidenze dirette.
La standardizzazione di DarkSword — un kit usato da tre gruppi con payload distinti — suggerisce una maturazione del mercato degli exploit mobili. GTIG ha osservato pattern simili con il kit Coruna, ma la scala di adozione di DarkSword appare più ampia. La scelta del JavaScript come linguaggio dell'intera catena ha un effetto anti-forense: riduce le tracce binarie sul dispositivo e semplifica l'adattamento a nuove versioni iOS senza ricompilazione.
Il report GTIG del 19 marzo 2026 documenta attività risalente a novembre 2025: circa quattro mesi tra primo utilizzo osservato e pubblicazione analisi. In questo intervallo, secondo l'analisi GTIG, almeno tre attori hanno acquisito e operato con lo stesso toolkit. Questa velocità di proliferazione, se confermata da indagini successive, indicherebbe che la barriera tra exploit sviluppati su commissione e prodotti commerciali riutilizzabili si sta assottigliando.
Il report GTIG non esclude che altri vendor di sorveglianza commerciale o threat actor stiano usando DarkSword oltre ai tre gruppi documentati.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain
- https://support.apple.com/en-us/126793
- https://www.cybersecurity360.it/news/darksword-lexploit-kit-che-ha-violato-gli-iphone-di-mezzo-mondo-per-rubare-dati-riservati/
- https://www.cybersecurity360.it/nuove-minacce/exploit-cose-e-come-fare-per-difendersi/
- https://www.cybersecurity360.it/nuove-minacce/vulnerabilita-zero-day-cosa-sono-e-come-funziona-il-mercato-nero-degli-exploit/
- https://www.cybersecurity360.it/nuove-minacce/malware-cosa-sono-come-riconoscerli-e-come-rimuoverli/