DarkSword, l'exploit kit iOS che rende attacchi APT accessibili ai

DarkSword è un exploit kit iOS full-chain scoperto da Lookout Threat Labs in collaborazione con Google Threat Intelligence Group e iVerify, attivo da novembre 2025 e osservato in campagne di watering hole contro obiettivi in Ucraina, Arabia Saudita, Turchia e Malesia. Il kit sfrutta sei vulnerabilità, di cui tre zero-day, per compromettere iPhone con iOS 18.4–18.7 e rubare credenziali, dati di crypto wallet e contenuti personali in una finestra temporale che si conta in secondi o al massimo in minuti. La novità non è solo tecnica: Google GTIG ha osservato multipli attori utilizzare DarkSword, indicando che il kit circola su un mercato secondario di exploit iOS che abbassa la soglia d'accesso a capacità prima riservate a gruppi statali.

Come funziona la kill chain: da Safari al kernel in JavaScript

La kill chain di DarkSword si distingue per l'uso estensivo di JavaScript, una scelta che ne accelera lo sviluppo e la modifica rispetto a toolchain tradizionali in linguaggi compilati. Il flusso inizia con un iframe malevolo caricato su siti compromessi, che invoca rce_loader.js per il fingerprinting del dispositivo target. Se il sistema rientra nel range vulnerabile, l'exploit proseguire con l'escape dalla sandbox Safari WebContent, seguito dall'escalation via WebGPU fino all'iniezione nel processo mediaplaybackd e alla conquista di lettura-scrittura nel kernel.

A questo punto entra in scena pe_main.js, l'orchestratore che coordina payload modulari iniettati in servizi di sistema privilegiati: configd, wifid, securityd e UserEventAgent. L'esfiltrazione avviene tramite Springboard, il launcher di iOS, sfruttando un canale che riduce le anomalie rilevabili da strumenti di monitoraggio tradizionali. Riferimenti nel codice a versioni iOS 17.4.1 e 17.5.1 indicano che DarkSword rappresenta un'evoluzione di kit precedenti, non una creazione ex novo.

I target: crypto wallet e dati personali in campagne geoverificate

Secondo il report di Lookout citato da SecurityAffairs, DarkSword "punta a estrarre un esteso set di informazioni personali incluse credenziali dal dispositivo e prende di mira specificatamente una pletora di app di crypto wallet, indicando un attore finanziariamente motivato". Le app nominate includono Coinbase, Binance, Kraken, Ledger, Trezor e Metamask. Oltre ai dati di wallet, il kit raccoglie foto, email e cronologia di Telegram e WhatsApp.

La geolocalazione delle campagne è verificata per l'Ucraina, dove il kit è stato distribuito attraverso siti compromessi incluso 7aac.gov[.]ua, un dominio governativo, tramite l'infrastruttura cdncounter[.]net e il suo sottodominio static.cdncounter[.]net. Arabia Saudita, Turchia e Malesia figurano come paesi targettati nelle osservazioni di Google GTIG, ma il dossier non specifica dettagli su vittime o settori in questi territori.

Il mercato secondario: quando gli exploit iOS diventano commoditiy

Il dato più significativo dal punto di vista strategico non è tecnico ma strutturale. Lookout rileva esplicitamente che "sembra esserci un mercato secondario per catene di exploit tecnicamente sofisticate, in cui venditori senza scrupoli sono disposti a servire acquirenti con poca o nessuna preoccupazione per come saranno utilizzate". Google GTIG corrobora questa lettura: "l'uso sia di DarkSword che di Coruna da parte di una varietà di attori dimostra il rischio continuo di proliferazione di exploit tra attori di varia geografia e motivazione".

Il riferimento a Coruna è rilevante come termine di paragone: si tratta di un precedente exploit kit iOS associato allo stesso attore UNC6353, ma distinto da DarkSword. Coruna targettava versioni più vecchie di iOS (13–17.2.1), mentre DarkSword colpisce il ramo 18.x. La successione suggerisce che UNC6353 abbia accesso a più toolkit di diversa provenienza, o che operi in un ecosistema dove l'acquisto di exploit chain è divenuto operazione routinaria. Segni di codice assistito da AI e offuscamento limitato nel kit DarkSword indicano, secondo Lookout, un' expertise interna ridotta da parte dell'attore: il gruppo personalizza e deploya, ma probabilmente non sviluppa autonomamente la componente exploit.

"Notably, DarkSword appears to take a 'hit-and-run' approach by collecting and exfiltrating the targeted data from the device within seconds or at most minutes followed by cleanup." — Lookout report, riportato da SecurityAffairs

Il ruolo dell'AI nella produzione di malware iOS

La citazione di Lookout su codice "possibly with the help of AI" introduce un elemento di cui il dossier non fornisce dettagli tecnici granulari. Non emergono esempi di pattern generativi identificabili, né timestamp di sviluppo che permettano di correlare la creazione di DarkSword con specifici strumenti di AI assistita. Il riferimento rimane una valutazione dell'attributore, non una constatazione forense. L'implicazione, tuttavia, è chiara: se attori con risorse tecniche limitate possono personalizzare exploit chain acquistate con l'ausilio di strumenti automatizzati, la barriera tra APT statali e cybercriminali finanziari si assottiglia ulteriormente.

Perche è importante

Il dossier non specifica misure correttive dettagliate né indicazioni operative da parte dei ricercatori. La fonte non documenta patch disponibili o timeline di rilascio da parte di Apple per le versioni iOS interessate, sebbene Lookout citi che iOS ≥18.7.3 e iOS 26 ≥26.3 risulterebbero non vulnerabili alla catena DarkSword secondo il report originale. Il brief non elenca controlli di sicurezza, configurazioni o strumenti di rilevazione raccomandati dall'advisory.

Sul piano dell'attribuzione, l'identità reale di UNC6353 resta "largely unknown" per Lookout. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a gruppi statali russi confermati allo stato attuale. L'estensione esatta delle campagne in Arabia Saudita, Turchia e Malesia non è dettagliata: paesi targettati sì, ma settori, vittime e vettori specifici non sono dichiarati dalla fonte. Il ruolo preciso di iVerify nella triade di scoperta con Lookout e Google GTIG non è articolato nel materiale disponibile. Resta infine non determinata l'origine esatta del kit: sviluppato da terzi e acquisito da UNC6353, o creato internamente con supporto esterno.

Ciò che il dossier documenta con chiarezza è la convergenza di tre trend: la crescente sofisticazione degli exploit mobile, la loro commoditizzazione via mercato secondario, e l'abbassamento della soglia di accesso a capacità offensive prima esclusive. Per le organizzazioni che basano la propria postura di sicurezza mobile sull'assunto di iOS come perimetro robusto per default, DarkSword rappresenta un caso di studio concreto sul limite di tale approccio.

Domande e risposte

DarkSword richiede interazione da parte della vittima?

Sì. Il vettore è il watering hole: la vittima deve visitare un sito web compromesso che carica l'iframe malevolo. Non è un attacco zero-click in senso stretto, ma la soglia di interazione è minima e non richiede installazione consapevole di applicazioni o profili.

Quali versioni iOS sono confermate come vulnerabili?

Secondo SecurityAffairs, che riporta i dati Lookout/GTIG, il range è iOS 18.4–18.7. Il report originale di Lookout specifica invece le versioni 18.4 e 18.6.2 come target verificati. Entrambe le fonti concordano che versioni aggiornate a iOS 18.7.3 o superiori, e iOS 26.3 o superiori per il ramo iOS 26, non siano vulnerabili alla catena DarkSword.

Perché il mercato secondario di exploit è ritenuto rilevante?

Perché Google GTIG ha osservato multipli attori utilizzare DarkSword a partire da novembre 2025, incluso UNC6353. Questa proliferazione indica che il kit non è esclusivo di un singolo gruppo, ma circola come bene commerciabile, riducendo il tempo e le competenze necessarie per condurre attacchi full-chain su iOS.

Fonti

• https://securityaffairs.com/189662/hacking/darksword-emerges-as-powerful-ios-exploit-tool-in-global-attacks.html
• https://securityaffairs.com/188928/security/google-uncovers-coruna-ios-exploit-kit-targeting-ios-13-17-2-1.html
• https://www.lookout.com/threat-intelligence/article/darksword

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti