DarkSword: kit exploit iOS in JavaScript colpisce via siti legittimi compromessi

Il 24 marzo 2026 Apple ha rilasciato iOS 18.7.7, una patch retroattiva che corregge una catena di exploit denominata DarkSword. Il kit, analizzato da iVerify e con elementi corroborati da Lookout e Google Threat Intelligence, compromette iPhone e iPad attraverso JavaScript eseguito in Safari. Richiede la visita a un sito compromesso: questa è l'azione dell'utente, non un attacco zero-click. In una mossa insolita, Apple estende correzioni a iOS 18 senza richiedere l'aggiornamento a iOS 26.

Da /rce_loader.js al kernel: una catena senza file

iVerify ha ricostruito l'intera catena d'attacco a partire da siti ucraini legittimi compromessi tramite iniezione di iframe in /widget.js. Il server, collocato in Estonia, era accessibile globalmente ma erogava exploit esclusivamente a indirizzi IP ucraini, come documentato nei log NGINX con ultima modifica il 23 dicembre 2025.

L'exploit chain è interamente costruita in JavaScript. Non contiene alcun impianto binario tradizionale o libreria Mach-O, come afferma esplicitamente l'analisi tecnica di iVerify. Il file /rce_loader.js iniziale sfrutta vulnerabilità JIT (Just-In-Time) in JavaScriptCore per ottenere lettura/scrittura arbitraria in memoria. Due bug JIT distinti vengono selezionati condizionalmente in base alla versione iOS: un type confusion in JIT RegExp match per iOS 18.4-18.5, e un use-after-free/type confusion in JIT StoreBarrierInsertionPhase per iOS 18.6-18.6.2.

Per aggirare TPRO (Task Port Restrictions), PAC (Pointer Authentication Codes) e le protezioni SPRR/JIT Cage, gli attaccanti abusano strutture interne dyld in memoria stack scrivibile, un'osservazione che iVerify documenta come tecnica specifica. Da lì, la catena pivot attraverso una vulnerabilità out-of-bounds write nel processo GPU/ANGLE per evadere la sandbox di Safari.

L'escalation al kernel avviene tramite iniezione di /pe_main.js nel daemon mediaplaybackd. iVerify ha confermato il kernel privilege escalation tramite forensic capture; il full filesystem dump risulta impossibile senza jailbreak. L'intero payload opera in memoria transitoria. iVerify riporta che il kit si auto-elimina dopo l'estrazione dei dati.

"La catena intera non è offuscata e contiene logging prolisso e commentari su come usare exploit e impianti" — iVerify, analisi tecnica DarkSword

Sei CVE, tre nel catalogo KEV di CISA con scadenza federale

Lookout ha enumerato sei vulnerabilità sfruttate nella catena DarkSword: CVE-2025-31277, CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520. Tre di queste — CVE-2025-31277, CVE-2025-43510, CVE-2025-43520 — sono state inserite nel catalogo Known Exploited Vulnerabilities di CISA il 20 marzo 2026, con scadenza per la rimedazione fissata al 3 aprile 2026 per le agenzie federali statunitensi.

Apple ha confermato nel suo advisory di supporto che "le correzioni associate all'exploit DarkSword sono state distribuite per la prima volta nel 2025". Questo allinea la timeline con l'osservazione di Google Threat Intelligence, che ha segnalato le vulnerabilità ad Apple nella seconda metà del 2025 e ha documentato per la prima volta l'uso di DarkSword da parte di UNC6748 nel novembre 2025, nel contesto di attacchi mirati all'Arabia Saudita tramite il dominio snapshare[.]chat.

Il 24 marzo 2026 Apple ha rilasciato iOS 18.7.7 per un insieme limitato di dispositivi, espandendo la disponibilità il 1 aprile 2026. La decisione di backportare correzioni senza richiedere la migrazione a iOS 26 è descritta nelle fonti come "unusual departure" dalla policy standard dell'azienda, che tipicamente condiziona le patch di sicurezza all'ultima major release. Rocky Cole, COO di iVerify, ha commentato che "Apple ha almeno concordato con la valutazione della comunità di sicurezza sul fatto che questo rappresenta una minaccia chiara e presente per i dispositivi che rimangono non patchati su versioni precedenti di iOS".

Proliferazione multi-attore: dal nation-state al mercato commerciale

Google Threat Intelligence ha identificato tre famiglie malware post-exploitation associate a DarkSword: GHOSTBLADE, GHOSTKNIFE e GHOSTSABER. L'analisi documenta l'uso del kit da parte di attori threat diversi e geograficamente distanti.

UNC6748, gruppo osservato nel novembre 2025 contro target sauditi, utilizza GHOSTBLADE. PARS Defense, vendor di sorveglianza commerciale con sede in Turchia, è stato osservato con GHOSTSABER. UNC6353, collegato al kit exploit Coruna precedentemente documentato, condivide infrastruttura con DarkSword. Google segnala inoltre "probabili altri vendor di sorveglianza commerciale" tra gli utilizzatori del kit, senza nominarli specificamente.

Lookout valuta "con alta confidenza" che l'attività DarkSword sia associata a operazioni di cyber-spionaggio allineate alla Russia e attività threat finanziariamente motivate. La proliferazione documentata da Google — attori in Ucraina, Arabia Saudita, Turchia e Malaysia — indica che il kit ha superato i confini di un singolo operatore.

Perché gli utenti sordi sono più esposti a watering hole

La struttura di DarkSword rompe il presupposto che compromettere iOS richieda un'app malevola o un profilo di configurazione. Il vettore è il browser web, il mezzo primario di comunicazione per molti utenti sordi che dipendono da servizi web-based per videochiamate, interpretariato e messaggistica visiva.

Questa dipendenza crea una superficie di attacco specifica. App come Glide, Marco Polo o piattaforme di interpretariato in video lavorano nel browser o reindirizzano a link web. Un utente sordo che riceve un link in queste app — magari apparentemente da un contatto noto il cui account è compromesso — compie l'azione richiesta: un tap, una visita, un 1-click. Non serve installare nulla.

Gli allarmi di sicurezza su iOS sono principalmente sonori o tattili. Notifiche visive di sistema possono passare inosservate durante una videochiamata a schermo intero. La mancanza di persistenza di DarkSword significa che non ci sono indicatori visivi post-attacco: nessuna app sconosciuta, nessun consumo anomalo di batteria. L'utente non ha elementi per sospettare.

Il geofencing osservato da iVerify — exploit erogati solo a IP ucraini — non garantisce protezione per utenti in altre regioni. La proliferazione multi-attore documentata da Google indica che il kit è già in circolazione tra operatori con target diversi.

Cosa fare: checklist per chi usa iOS

• Verifica aggiornamento automatico: Impostazioni > Generali > Aggiornamento Software > Aggiornamenti automatici. Attiva "Scarica aggiornamenti iOS" e "Installa aggiornamenti iOS". iOS 18.7.7 è disponibile per i dispositivi compatibili; non è necessario passare a iOS 26 per ricevere la patch.
• Controlla versione installata: Impostazioni > Generali > Informazioni. Se la versione è tra 18.4 e 18.7, conferma che l'aggiornamento sia stato applicato.
• Attenzione ai link in app di comunicazione visiva: Glide, Marco Polo, piattaforme di interpretariato video e chat di comunità sordi possono veicolare link a siti compromessi. Verifica il dominio prima di aprire: passa lungo il link per vedere l'URL completo, non solo l'anteprima.
• Preferisci app native all'apertura di browser: Se un servizio ha app ufficiale nell'App Store, usala invece della versione web. DarkSword si attiva via Safari; l'app nativa riduce la superficie di attacco.
• Abilita notifiche visive di sicurezza: Impostazioni > Notifiche > Assicurati che "Avvisi di sicurezza" siano visibili anche con "Non disturbare" attivo, comune durante videochiamate.

La stima di iVerify — circa il 20% degli utenti su versioni precedenti di iOS — non è confermata da Apple, ma la decisione di backportare la patch suggerisce una superficie di attacco significativa.

Chiusura editoriale

DarkSword dimostra che la linea tra navigazione quotidiana e compromissione totale si è assottigliata a un singolo tap. Per la community sorda, dove la comunicazione digitale è spesso visiva e web-centrica, questa assottigliamento ha implicazioni concrete. La sicurezza non è più questione di cosa si installa, ma di dove si clicca — e di chi controlla il sito che si sta visitando.