DarkSword è un exploit kit per iOS attivo da novembre 2025 e scoperto nel marzo 2026 da Lookout durante l'analisi delle infrastrutture di UNC6353. Sfrutta sei vulnerabilità — tre zero-day — per il takeover completo di iPhone con iOS dalla versione 18.4 alla 18.7, rubando dati sensibili e credenziali di wallet crypto in modalità "hit-and-run" che rende la scoperta post-attacco estremamente difficile. Tre attori threat di geografia e motivazione diverse hanno già impiegato il kit: un gruppo di spionaggio sospetto russo, attori finanziari e un vendor di sorveglianza commerciale turco.
- La chain tecnica completa passa da Safari a JavaScriptCore JIT, poi via WebGPU/ANGLE al processo GPU, a mediaplaybackd, fino al kernel iOS con privilege escalation arbitraria.
- Tre dei sei flaw erano zero-day al momento dell'uso: CVE-2026-20700, CVE-2025-43529 e CVE-2025-14174; CVE-2026-20700 è stato patchato da Apple solo in iOS 26.3 dopo la scoperta di Google TAG.
- UNC6353, UNC6748 e PARS Defense hanno usato DarkSword con payload diversi (GHOSTBLADE, GHOSTKNIFE, GHOSTSABER) contro obiettivi in Ucraina, Arabia Saudita, Turchia e Malaysia.
- Il codice JavaScript del kit è completamente privo di offuscamento, con riferimenti a iOS 17.4.1 e 17.5.1 che indicano un porting da versioni precedenti del framework.
Come funziona la catena di attacco: dal browser al kernel in tre salti
La prima compromissione avviene tramite Safari e una vulnerabilità di memory corruption in JavaScriptCore, identificata come CVE-2025-31277 con CVSS 8.8 secondo il record NVD. Questo primo passo garantisce l'esecuzione di codice arbitrario all'interno del sandbox WebContent. Da qui inizia il vero percorso di DarkSword, che non si ferma al RCE iniziale ma punta al doppio sandbox escape.
Il gruppo Google Threat Intelligence Group (GTIG) ha documentato il meccanismo con precisione: "DarkSword uses two separate sandbox escape vulnerabilities, first by pivoting out of the WebContent sandbox into the GPU process, and then by pivoting from the GPU process to mediaplaybackd". Il pivoting sfrutta le API WebGPU e il framework grafico ANGLE per forzare il passaggio dal contesto isolato del browser al processo GPU, quindi al demone mediaplaybackd con privilegi più ampi. Solo a questo punto interviene la privilege escalation kernel tramite CVE-2025-43510 e CVE-2025-43520, entrambe patchate da Apple in iOS 18.7.2 e 26.1.
Il payload finale, denominato GHOSTBLADE da Lookout, è scritto interamente in JavaScript. Lookout lo ha definito "a professionally designed platform enabling rapid development of modules through access to a high-level programming language". La scelta di un linguaggio interpretato per un infostealer di questo livello è insolita: abbatte i tempi di sviluppo e di adattamento, ma espone anche la struttura interna a chiunque ottenga il campione.
Il paradosso OPSEC: codice nudo in mano a spie
Il dato più disturbante non è tecnico ma operativo. Lookout ha rilevato "the complete lack of obfuscation in DarkSword code", un'assenza totale di tecniche di offuscamento sia nel JavaScript che nelle infrastrutture di comando e controllo. Per un gruppo come UNC6353, attivo in operazioni di spionaggio contro obiettivi ucraini dal dicembre 2025 con accesso a zero-day di livello nation-state, questa trascuratezza è anomala.
La spiegazione proposta da Lookout apre uno scenario più ampio: "Given that both Coruna and DarkSword have capabilities for cryptocurrency theft and intelligence gathering, we must consider the possibility that UNC6353 is a Russia-backed privateer group or criminal proxy threat actor". Il concetto di "privateer group" — un attore ibrido che agisce per interesse statale ma con strutture e risorse da criminalità — spiega l'incoerenza tra la sofisticazione degli exploit e la povertà dell'OPSEC. Il gruppo ha accesso a capacità sviluppate da altri, non le custodisce come tesoro nazionale.
I riferimenti nel codice a iOS 17.4.1 e 17.5.1 confermano che DarkSword non è nato ex novo per iOS 18. È il porting di un framework precedente, adattato per coprire le versioni più recenti. Questo indica un ciclo di vita del prodotto exploit lungo e un investimento in manutenzione non compatibile con un singolo operatore occasionale.
Tre attori, tre payload, un solo mercato
La proliferazione di DarkSword oltre i confini di UNC6353 è il segnale più chiaro di un mercato secondario maturo. UNC6748 ha usato il kit nel novembre 2025 contro utenti sauditi tramite il sito Snapchat-themed snapshare[.]chat, deployando il payload GHOSTKNIFE. PARS Defense, vendor di sorveglianza commerciale turco, ha operato nel novembre 2025 e gennaio 2026 contro Turchia e Malaysia con GHOSTSABER. Non emergono sovrapposizioni infrastrutturali che colleghino direttamente i tre attori: ognuno ha ricevuto o acquistato il kit in modo indipendente.
"The use of both DarkSword and Coruna by a variety of actors demonstrates the ongoing risk of exploit proliferation across actors of varying geography and motivation" — Google Threat Intelligence Group
GTIG ha sintetizzato il fenomeno con questa citazione diretta, sottolineando che la diffusione non riguarda solo DarkSword ma un pattern più ampio. Il kit Coruna, menzionato come parallelo, è un prodotto distinto con target iOS diversi; il collegamento è l'uso da parte di UNC6353 e il mercato che entrambi rivelano. La fonte non specifica il ruolo esatto di PARS Defense: sviluppa in-house, acquista, o rivende? Il dossier non lo chiarisce.
Il range di versioni targettate si estende da iOS 18.4 a 18.7, con UNC6353 concentrato sulle prime e UNC6748/PARS che coprono anche la 18.7. La frammentazione dei target suggerisce personalizzazione del kit per clienti diversi, non un'unica campenza centralizzata.
Il tempo di esfiltrazione: secondi, non ore
La modalità operativa di DarkSword è progettata per l'invisibilità. Lookout ha documentato che il kit "collecting and exfiltrating the targeted data from the device within seconds or at most minutes, followed by cleanup". Questa architettura "hit-and-run" elimina la persistenza del malware sul dispositivo, tradizionale punto debole per la scoperta forense. Una volta esfiltrati i dati — credenziali, informazioni personali, contenuti di wallet crypto — il codice si autodistrugge o rimuove le tracce operative.
Lookout ha inoltre precisato il target finanziario: "DarkSword aims to extract an extensive set of personal information, including credentials from the device and specifically targets a plethora of crypto wallet apps, hinting at a financially motivated threat actor". Questa descrizione si riferisce al pattern d'uso osservato, non necessariamente alla natura di tutti gli attori: UNC6353 ha impiegato lo stesso kit in contesto geopolitico, dimostrando la versatilità del prodotto.
L'assenza di persistenza complica drasticamente la risposta incidenti. Senza artefatti residui, la rilevazione dipende esclusivamente dal monitoring comportamentale in tempo reale — traffico anomalo, accessi a endpoint noti, pattern di esfiltrazione — piuttosto che dalla ricerca di indicatori di compromissione post-facto.
Perché è importante
Il dossier non specifica misure correttive specifiche adottate da Apple oltre il rilascio delle patch menzionate. Il brief non documenta raccomandazioni operative esplicite da parte dei ricercatori per gli utenti o le organizzazioni.
Il dato che emerge con forza è la scala del rischio esposizionale. iVerify ha stimato che gli attacchi combinati Coruna e DarkSword colpiscano "hundreds of millions of unpatched devices running iOS versions from 13 to 18.6.2". Questa è una stima su dispositivi potenzialmente esposti, non su vittime confermate: il numero reale di compromissioni non è quantificabile sulla base delle fonti disponibili.
Il CVSS di CVE-2025-43520 — 5.5 secondo NIST, con CISA KEV entry che conferma exploitation attiva — illustra un limite noto della metrica. Valutato isolatamente, il flaw appare di modesta entità; inserito nella catena completa, con arbitrary write del kernel, il suo impatto tecnico è totale. La discrepanza tra punteggio formale e effettiva pericolosità in chain è un avvertimento per chi si affida esclusivamente a soglie CVSS nella prioritizzazione.
Il metodo esatto di iniezione nei siti web compromessi — waterhole attack — è "currently not known" secondo la fonte primaria. Non si sa se avvenga tramite compromissione del server, supply chain di advertising, o altro vettore. L'origine del kit resta altrettanto indeterminata: sviluppato internamente, acquisito, o derivato da leak di codice? I riferimenti a versioni iOS 17 suggeriscono continuità evolutiva, non provenienza.
Il caso DarkSword conferma che il mercato secondario di exploit iOS ha raggiunto una maturità tale da democratizzare capacità prima riservate a operatori di intelligence nazionale. Il codice non offuscato, la rapidità di esfiltrazione, la molteplicità degli utilizzatori: questi elementi compongono un'immagine di exploit come prodotto commerciale standardizzato, non come arma su misura. Per gli utenti iOS, la conseguenza è che la visita a un sito legittimo compromesso può tradursi in furto totale dei dati senza alcuna interazione richiesta. Per le organizzazioni, il caso indica che l'ecosistema chiuso Apple non costituisce più un perimetro sufficiente: la rilevazione deve spostarsi sul comportamento del dispositivo, non sulla fiducia nella piattaforma.
FAQ
DarkSword è una minaccia attiva o è stata contenuta?
I tre zero-day sono stati patchati da Apple nelle versioni iOS 18.6, 18.7.2, 26.1 e 26.3, ma il kit rimane efficace su dispositivi non aggiornati. La fonte non documenta campagne attive dopo gennaio 2026, ma l'assenza di persistenza rende intrinsecamente difficile la rilevazione di nuovi utilizzi.
Perché il codice non offuscato è significativo?
Perché contraddice il profilo operativo di gruppi con accesso a zero-day nation-state. L'ipotesi più solida è che UNC6353 non abbia sviluppato il kit ma lo abbia acquisito, mancando delle risorse ingegneristiche per proteggerne la struttura o non considerando necessaria tale protezione.
Qual è il rischio reale per un utente iOS medio?
La fonte non quantifica vittime individuali. Il rischio esiste per chi naviga su siti compromessi con dispositivi non patchati; l'attacco non richiede interazione. La stima di iVerify su "centinaia di milioni" di dispositivi esposti si riferisce alla popolazione vulnerabile, non a compromissioni accertate.
Fonti
- https://thehackernews.com/2026/03/darksword-ios-exploit-kit-uses-6-flaws.html
- https://nvd.nist.gov/vuln/detail/CVE-2025-31277
- https://nvd.nist.gov/vuln/detail/CVE-2025-43510
- https://nvd.nist.gov/vuln/detail/CVE-2025-43520
- https://thehackernews.com/2026/03/coruna-ios-exploit-kit-uses-23-exploits.html
- https://thehackernews.com/2026/02/apple-fixes-exploited-zero-day.html
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.