O malware P7 DarkSword para iOS representa uma evolução preocupante das ameaças direcionadas aos dispositivos da Apple. A nova variante do kit de exploração DarkSword combina técnicas de ocultação, extração de credenciais armazenadas no sistema e roubo de informações de carteiras de criptomoedas. Além disso, permite que os operadores enviem comandos remotamente ao iPhone comprometido, ampliando as possibilidades de espionagem e coleta de dados.
A variante foi documentada pela empresa de segurança iVerify em outubro de 2026, após uma investigação forense iniciada a partir da detecção de uma infecção em um dispositivo de um cliente. Entre as mudanças identificadas estão a redução dos registros de atividade, o processamento local de informações sensíveis e a comunicação bidirecional com a infraestrutura dos invasores.
O caso chama a atenção porque demonstra como ferramentas avançadas de exploração podem transformar vulnerabilidades do sistema operacional em um caminho para acessar informações pessoais e financeiras. Embora o iOS tenha mecanismos robustos de isolamento e proteção de dados, essas barreiras não eliminam os riscos quando uma cadeia de exploração consegue superar diferentes camadas de segurança.
O que é o malware P7 DarkSword para iOS e como funciona o ataque
O DarkSword é um kit de exploração desenvolvido para comprometer dispositivos com iOS por meio de uma sequência de vulnerabilidades. Investigações anteriores do Google Threat Intelligence Group identificaram o uso dessa cadeia em diferentes campanhas de vigilância desde novembro de 2025, com alvos em países como Arábia Saudita, Turquia, Malásia e Ucrânia. A pesquisa também apontou a utilização da ferramenta por diferentes grupos e operadores.
A variante P7 DarkSword acrescenta recursos que tornam a operação mais discreta e ampliam sua capacidade de coleta de informações. Em vez de se limitar à extração de dados em uma única etapa, o implante instalado no dispositivo pode manter contato com um servidor remoto, receber instruções e executar tarefas de acordo com as ordens do operador.
O nome P7 deriva do prefixo p7_ encontrado em variáveis do código analisado pelos pesquisadores. Portanto, não se trata de uma nova versão oficial do iOS, mas de uma variante maliciosa identificada durante uma investigação de segurança.
Como a ameaça chega ao iPhone
A cadeia de ataque pode começar quando o dispositivo acessa conteúdo web preparado para explorar uma falha de segurança. Dependendo da campanha, o usuário pode chegar à página maliciosa por meio de redirecionamentos, anúncios comprometidos ou sites que parecem legítimos.
Uma investigação publicada em outubro de 2026 por Scott Helme, da Report URI, identificou o reaproveitamento de domínios expirados, incluindo ecomtrack.io, para redirecionar visitantes e distribuir conteúdo malicioso. O domínio havia sido registrado novamente após expirar, embora códigos de integração continuassem presentes em lojas virtuais. A análise encontrou uma cadeia associada ao DarkSword e recursos voltados ao roubo de informações de carteiras digitais.
Depois de explorar as falhas necessárias, a cadeia pode ultrapassar as restrições do navegador e obter privilégios elevados no sistema. No caso do P7, o implante utiliza o processo SpringBoard, responsável por componentes centrais da interface do iPhone, como a tela inicial e a organização dos aplicativos.
A presença nesse processo permite que o código malicioso permaneça ativo para executar tarefas e processar instruções remotas. Isso não significa que qualquer acesso a um site seja suficiente para comprometer um iPhone: a exploração depende de condições técnicas específicas, incluindo a versão do sistema e a disponibilidade das vulnerabilidades necessárias.
Evasão de segurança e extração do Keychain
Uma das mudanças mais importantes do P7 DarkSword é a tentativa de diminuir os vestígios deixados durante a execução. Segundo a análise da iVerify, a variante remove determinados registros de depuração associados às comunicações HTTP e ao syslog, reduzindo a quantidade de informações que poderiam ajudar a identificar suas atividades.
O implante também utiliza o localStorage do navegador para armazenar informações sobre o estado da execução. Esse mecanismo pode impedir que determinadas etapas sejam repetidas desnecessariamente no mesmo dispositivo, evitando novas tentativas de exploração e ajudando a manter a operação estável.
Outra diferença está no tratamento do Keychain, o sistema de armazenamento protegido do iOS usado por aplicativos para guardar credenciais e outros dados sensíveis. Nas versões anteriores descritas pelos pesquisadores, o banco de dados podia ser extraído para processamento posterior na infraestrutura dos atacantes.
No P7, a extração das informações é realizada diretamente no dispositivo, com a organização dos dados em formato JSON antes do envio ao servidor remoto. Essa abordagem permite selecionar e estruturar informações relevantes, em vez de depender exclusivamente da transferência de um banco de dados completo.
O impacto potencial é significativo. Dependendo das permissões, dos dados disponíveis e do sucesso da exploração, credenciais e outros segredos armazenados no aparelho podem ser expostos. A presença de informações no Keychain, entretanto, não significa que todos os dados estejam automaticamente acessíveis em qualquer circunstância.
Comandos remotos e exfiltração de dados sensíveis
O canal de comando e controle (C2) é outro componente central da variante. De acordo com a análise técnica divulgada, o implante realiza comunicações periódicas com a infraestrutura remota, com intervalos de aproximadamente 15 segundos nos exemplos examinados.
Essa comunicação não serve apenas para enviar informações roubadas. Ela também permite receber instruções, tornando o malware uma ferramenta de acesso remoto, em vez de um programa limitado à coleta inicial de dados.
Entre as informações que podem ser procuradas estão:
- Lista de aplicativos instalados, que ajuda os operadores a identificar serviços e possíveis alvos de interesse.
- Notas e fotografias, que podem conter informações pessoais, documentos e outros registros sensíveis.
- Credenciais e dados do Keychain, dependendo do conteúdo disponível e das condições da infecção.
- Dados de carteiras de criptomoedas, incluindo informações associadas a aplicativos como imToken.
- Arquivos e dados de aplicativos, conforme as capacidades e as instruções utilizadas pelo implante.
A análise do P7 destaca funcionalidades relacionadas à carteira imToken. Outros materiais técnicos sobre campanhas associadas ao DarkSword também mencionam a BitKeep, embora seja importante distinguir os recursos confirmados em cada amostra e operação.
Para os usuários, o risco financeiro vai além da exposição de senhas comuns. Se os atacantes conseguirem obter uma frase de recuperação, uma chave privada ou outro segredo suficiente para controlar uma carteira, poderão tentar transferir os ativos sem depender do acesso contínuo ao iPhone original.
A comunicação bidirecional também permite adaptar as ações à situação encontrada no aparelho. Os operadores podem solicitar novas informações ou modificar o comportamento do implante sem precisar iniciar toda a cadeia de exploração novamente.
Vulnerabilidades CVE-2025-24201 e CVE-2025-31200 e a distribuição do malware
Duas vulnerabilidades relevantes para compreender o cenário são a CVE-2025-24201, associada ao WebKit, e a CVE-2025-31200, relacionada ao Core Audio. Ambas receberam correções da Apple em 2025, mas afetam componentes diferentes e apresentam impactos distintos.
A CVE-2025-24201 é uma falha de gravação fora dos limites de memória no WebKit. Conteúdo web malicioso poderia explorar o problema para escapar do isolamento do conteúdo do navegador. A Apple corrigiu a vulnerabilidade no iOS 18.3.2, entre outras versões de seus sistemas.
Já a CVE-2025-31200 afeta o Core Audio. Segundo a Apple, o processamento de um fluxo de áudio em um arquivo de mídia especialmente preparado poderia resultar na execução de código. A falha foi corrigida no iOS 18.4.1 e também foi associada a um relato de exploração em ataques altamente sofisticados contra indivíduos específicos.
Essas duas falhas ajudam a ilustrar como vulnerabilidades em componentes diferentes podem ser combinadas para superar barreiras de segurança. Entretanto, elas não devem ser confundidas com a totalidade da cadeia DarkSword: a investigação mais ampla publicada pelo Google descreve outras vulnerabilidades utilizadas em campanhas e versões específicas do kit. A composição exata do ataque depende da amostra analisada.
A distribuição também merece atenção. O reaproveitamento de domínios expirados, como o ecomtrack.io, demonstra que até mesmo um componente legítimo incorporado a um site pode se tornar um risco quando sua infraestrutura deixa de ser administrada pelo proprietário original.
Esse cenário afeta também os responsáveis por lojas virtuais e páginas corporativas. Um site pode continuar carregando scripts de terceiros muito tempo depois de o serviço correspondente ter sido abandonado. Se o domínio for registrado por outra pessoa, o código carregado pelos visitantes poderá mudar sem que o administrador do site perceba imediatamente.
Por isso, a defesa não depende apenas de corrigir o iPhone. A gestão de dependências externas, a revisão de scripts e o monitoramento de redirecionamentos também são medidas importantes para reduzir a exposição a ataques desse tipo.
O impacto do P7 DarkSword e como proteger seu iPhone
A evolução do malware P7 DarkSword para iOS reforça uma preocupação importante para o setor de cibersegurança: ferramentas originalmente desenvolvidas para operações de vigilância podem ser modificadas e reutilizadas em ataques com objetivos financeiros.
A combinação de exploração de vulnerabilidades, extração de credenciais, coleta de dados pessoais e execução de comandos remotos amplia o impacto potencial da ameaça. Para usuários que armazenam informações profissionais, documentos pessoais ou carteiras digitais no iPhone, uma infecção pode representar riscos que vão além da privacidade.
O problema também interessa a empresas que permitem o uso de dispositivos pessoais para acessar e-mails corporativos, sistemas internos e serviços de autenticação. Um aparelho comprometido pode expor informações capazes de facilitar ataques posteriores contra contas e organizações.
Outro aspecto relevante é a dificuldade de detecção. A redução de registros de depuração significa que métodos baseados exclusivamente na análise de logs locais podem deixar passar parte das atividades maliciosas. A investigação de incidentes precisa considerar também sinais de rede, indicadores técnicos e evidências obtidas por ferramentas especializadas.
Como reduzir o risco de infecção
A principal medida de proteção é manter o iOS atualizado. As correções para as vulnerabilidades mencionadas foram disponibilizadas pela Apple em atualizações anteriores, incluindo o iOS 18.3.2 para a CVE-2025-24201 e o iOS 18.4.1 para a CVE-2025-31200. Instalar a versão mais recente compatível com o aparelho ajuda a evitar a exploração de falhas já corrigidas.
Além disso, algumas medidas práticas podem reduzir a exposição:
- Verifique as atualizações: acesse Ajustes, Geral e Atualização de Software para conferir se há uma versão mais recente disponível.
- Desconfie de redirecionamentos suspeitos: evite páginas que abrem novas abas repetidamente, solicitam informações sensíveis sem justificativa ou direcionam para endereços desconhecidos.
- Revise os aplicativos instalados: remova aqueles que não utiliza e mantenha os demais atualizados.
- Proteja suas carteiras digitais: nunca compartilhe frases de recuperação ou chaves privadas. Para valores elevados, considere manter os segredos de recuperação separados do dispositivo usado diariamente.
- Use o Modo de Isolamento quando necessário: o recurso da Apple pode oferecer proteção adicional para pessoas que enfrentam riscos elevados de ataques direcionados, embora não substitua as atualizações.
- Avalie sinais de comprometimento: se houver suspeita concreta de infecção, procure assistência especializada antes de apagar o aparelho, especialmente quando for necessário preservar evidências para uma investigação.
Empresas também devem estabelecer políticas de atualização obrigatória, inventariar dispositivos móveis e monitorar conexões suspeitas. Em ambientes corporativos, soluções de gerenciamento de dispositivos podem ajudar a identificar aparelhos desatualizados e restringir o acesso a recursos internos.
Se uma carteira de criptomoedas puder ter sido comprometida, a prioridade é proteger os ativos por meio de um dispositivo confiável e de uma estratégia segura de recuperação. Apenas trocar a senha do iPhone pode não ser suficiente quando uma frase de recuperação ou chave privada já foi exposta.
Conclusão
O P7 DarkSword demonstra como a exploração de falhas no iOS pode evoluir para uma operação abrangente de espionagem e roubo de informações financeiras. A extração local do Keychain, o direcionamento a carteiras digitais, a redução de rastros e o controle remoto tornam essa variante especialmente relevante para profissionais de segurança e usuários preocupados com a proteção de seus dados.
O caso também evidencia que a segurança dos dispositivos móveis depende de uma combinação de atualizações, hábitos digitais cuidadosos e monitoramento adequado. Mesmo sistemas com mecanismos avançados de proteção precisam receber correções regularmente para reduzir o risco de exploração.
Manter o iPhone atualizado é uma medida essencial, mas não elimina todos os riscos associados a credenciais expostas, aplicativos vulneráveis ou serviços externos comprometidos.
