iVerify 今日發佈了一份報告，詳細介紹了 P7 DarkSword，這是一種與早前揭露的 DarkSword iPhone 利用鏈相關的新型惡意軟件。以下是具體細節。
背景資訊方面，今年早些時候，Google 和 iVerify 揭露了兩款複雜的 iPhone 破解工具，分別名為 Coruna 和 DarkSword，這兩者利用多個 iOS 漏洞來攻擊運行過時系統版本的設備。在 DarkSword 的情況下，一旦 iPhone 被攻破，攻擊者便可部署額外的惡意軟件，並獲取敏感數據。Coruna 針對運行 iOS 13 至 iOS 17.2.1 的設備，而 DarkSword 則影響運行 iOS 18.4 至 iOS 18.7 的 iPhone。
這導致 Apple 為受影響的舊版 iOS 發佈系統更新，包括 iOS 15.8.7、iOS 16.7.15 和 iOS 18.7.7。Apple 更是採取了不尋常的步驟，讓 iOS 18.7.7 可供能安裝 iOS 26 的設備使用，這樣選擇不更新至最新系統版本的用戶也能保護自己免受 DarkSword 的侵害。
當時，Google 表示 DarkSword 被多個商業監控供應商和疑似國家支持的行為者使用，並觀察到對沙烏地阿拉伯、土耳其、馬來西亞和烏克蘭的目標進行攻擊。
今日，iVerify 宣佈發現了 P7 DarkSword，這是一種之前未見的變種，該變種是在兩個月前對一位金融機構員工的 iPhone 進行感染調查時發現的。在與 9to5Mac 分享的額外細節中，iVerify 表示 P7 擴展了對 iOS 18.7 的兼容性，這比它之前追蹤的變種 iOS 18.6 有所提升。Google 觀察到的其他 DarkSword 部署已經支持 iOS 18.7。
該公司還指出，P7 背後的威脅行為者通過惡意廣告進行分發，這是水洞攻擊的一部分，意味著受害者不一定是被單獨針對，而是可能在更廣泛的攻擊活動中，因接觸到惡意或被攻陷的網絡內容而受到影響。
P7 DarkSword 的新特性與改進
在報告中提到：「在 2026 年 8 月，我們調查了一起 DarkSword 感染，結果發現這是一種之前未見的變種，我們稱之為 P7 DarkSword。P7 的名稱來自於威脅行為者在對原始 DarkSword 代碼的修改中使用的 p7_ 變數前綴。與我們通常觀察到的變種相比，P7 減少了其在設備上的足跡，增加了對設備密鑰鏈和加密錢包的盜竊，並增強了與攻擊者基礎設施的雙向 C2 通信。」
報告指出，P7 DarkSword 在隱匿性、穩定性和功能性三個主要方面改進了早期的變種。這一新變種減少了日誌記錄和進程注入的次數，利用瀏覽器存儲來避免對同一設備的重複利用，並擴展了其數據竊取能力。iVerify 還告訴 9to5Mac，這些變更似乎反映了操作人員的實質性工作，而非簡單的 AI 協助修改。該公司表示，P7 在隱藏自己和清理行為方面表現得更為出色，因此以前的妨礙指標（IOCs）已不再有效。
P7 DarkSword 的潛在影響與風險
最值得注意的是，iVerify 表示 P7 能夠直接提取 iPhone 上的密鑰鏈數據，再將其發送給攻擊者，而不是複製整個密鑰鏈資料庫以便在其他地方處理。P7 DarkSword 還能針對加密錢包數據，並引入更先進的雙向通信，與攻擊者的指揮與控制基礎設施進行互動。這種雙向通信也使攻擊者對被感染設備有更大的控制權。
根據 iVerify 的說法，P7 可以接收命令以檢索任意文件、上傳照片、盤點已安裝的應用程式、訪問 Apple Notes 資料庫、收集單個應用容器的數據，以及掃描設備的檔案系統。默認情況下，該間諜軟件每 15 秒與攻擊者的指揮與控制伺服器聯絡一次以獲取新指令，儘管該時間間隔可以遠程更改。值得注意的是，P7 並不是一種新的 iOS 漏洞，而是一種在成功的 DarkSword 攻擊後部署的新版本。
iVerify 並未透露 P7 於 8 月發現的設備運行的 iOS 版本。
如欲查閱 iVerify 的完整報告，其中包括 P7 運作的技術細節，請跟隨此鏈接。
利益聲明：本文包含合作商戶產品連結，如你透過連結購買，TechRitual 可能獲得佣金收入，但不影響產品評價及推薦。詳情請參閱私隱政策。
身為 Amazon Associate，本站會從合資格購買中賺取佣金。
