ARTICLE · 1152503

【安全圈】P7 DarkSword新型iOS利用工具集曝光:精准劫持加密钱包

发布时间：2026-10-10 19:17:05 最近访问：2026-10-10 19:17:06

关键词

劫持

核心威胁快报：移动端武器库迎来高对抗性重构。商业间谍与黑客黑市流通的高危 iOS 漏洞套件 DarkSword 衍生出全新变种“P7 DarkSword”。该变种不仅抹除了系统日志与 HTTP 调试痕迹，更直接将恶意模块注入系统核心 SpringBoard 进程，针对设备本地 Keychain 钥匙串和加密货币钱包资产实施轻量化收割。

🔍 军火级套件流入黑市：从沙箱逃逸到 SpringBoard 驻留

移动安全机构 iVerify 发布最新分析报告显示，DarkSword 最早于 2025 年 11 月在野外被捕获，并在今年 3 月由谷歌威胁情报团队（GTIG）与 Lookout 联合披露。该套件最初定位于 iOS 18.4 至 18.7 系统的 Safari 浏览器，整条链条通过浏览器沙箱逃逸、内核提权与系统进程注入，属于高度成熟的商业监视间谍武器，随后流入地下黑市被多家黑客组织采购分发。

此次捕获的新变种因大量采用 p7_ 变量前缀而被命名为“P7”。与早期版本相比，P7 极大压缩了设备驻留足迹，专攻隐蔽性、执行稳定性以及资产窃取效率。

🔑 战术蜕变：机内本地解析与极简静默回传

在对抗终端安全检测方面，P7 DarkSword 实施了多项针对性改进：

抹除日志痕迹
：彻底移除了 HTTP 请求中的调试信息输出与系统级 syslog 日志打印，避免在终端产生可被追溯的异常日志。
浏览器状态锁
：利用浏览器 localStorage 写入感染状态标记，严格防止对同一受害者设备重复触发漏洞利用而导致应用崩溃暴露。
钥匙串本地 JSON 化
：早期版本通常将整个 Keychain 数据库原始镜像打包外发并在攻击端离线破解；P7 则在受害 iPhone 本地实时解密提取钥匙串结构，直接格式化为干净的 JSON 数据流外传，单次网络流量特征骤降。
全双工 C2 控制台
：植入代码直接注入掌管 iOS 桌面与应用调度的 SpringBoard 进程，每隔 15 秒向远端服务器发送一次 Heartbeat 心跳，回报已安装应用清单，并动态执行下发的攻击指令。