新型 DarkSword 恶意软件变种 P7 影响未更新 iPhone 系统

iVerify 今日发布了一份报告，详细介绍了 P7 DarkSword，这是一种与早前揭露的 DarkSword iPhone 利用链相关的新型恶意软件。以下是具体细节。

背景信息方面，今年早些时候，Google 和 iVerify 揭露了两款复杂的 iPhone 破解工具，分别名为 Coruna 和 DarkSword，这两者利用多个 iOS 漏洞来攻击运行过时系统版本的设备。在 DarkSword 的情况下，一旦 iPhone 被攻破，攻击者便可部署额外的恶意软件，并获取敏感数据。Coruna 针对运行 iOS 13 至 iOS 17.2.1 的设备，而 DarkSword 则影响运行 iOS 18.4 至 iOS 18.7 的 iPhone。

这导致 Apple 为受影响的旧版 iOS 发布系统更新，包括 iOS 15.8.7、iOS 16.7.15 和 iOS 18.7.7。Apple 更是采取了不寻常的步骤，让 iOS 18.7.7 可供能安装 iOS 26 的设备使用，这样选择不更新至最新系统版本的用户也能保护自己免受 DarkSword 的侵害。

当时，Google 表示 DarkSword 被多个商业监控供应商和疑似国家支持的行为者使用，并观察到对沙特阿拉伯、土耳其、马来西亚和乌克兰的目标进行攻击。

今日，iVerify 宣布发现了 P7 DarkSword，这是一种之前未见的变种，该变种是在两个月前对一位金融机构员工的 iPhone 进行感染调查时发现的。在与 9to5Mac 分享的额外细节中，iVerify 表示 P7 扩展了对 iOS 18.7 的兼容性，这比它之前追踪的变种 iOS 18.6 有所提升。Google 观察到的其他 DarkSword 部署已经支持 iOS 18.7。

该公司还指出，P7 背后的威胁行为者通过恶意广告进行分发，这是水洞攻击的一部分，意味着受害者不一定是被单独针对，而是可能在更广泛的攻击活动中，因接触到恶意或被攻陷的网络内容而受到影响。

P7 DarkSword 的新特性与改进

在报告中提到：“在 2026 年 8 月，我们调查了一起 DarkSword 感染，结果发现这是一种之前未见的变种，我们称之为 P7 DarkSword。P7 的名称来自于威胁行为者在对原始 DarkSword 代码的修改中使用的 p7_ 变量前缀。与我们通常观察到的变种相比，P7 减少了其在设备上的足迹，增加了对设备钥匙链和加密钱包的盗窃，并增强了与攻击者基础设施的双向 C2 通信。”

报告指出，P7 DarkSword 在隐匿性、稳定性和功能性三个主要方面改进了早期的变种。这一新变种减少了日志记录和进程注入的次数，利用浏览器存储来避免对同一设备的重复利用，并扩展了其数据窃取能力。iVerify 还告诉 9to5Mac，这些变更似乎反映了操作人员的实质性工作，而非简单的 AI 协助修改。该公司表示，P7 在隐藏自己和清理行为方面表现得更为出色，因此以前的妨碍指标（IOCs）已不再有效。

P7 DarkSword 的潜在影响与风险

最值得注意的是，iVerify 表示 P7 能够直接提取 iPhone 上的钥匙链数据，再将其发送给攻击者，而不是复制整个钥匙链数据库以便在其他地方处理。P7 DarkSword 还能针对加密钱包数据，并引入更先进的双向通信，与攻击者的指挥与控制基础设施进行互动。这种双向通信也使攻击者对被感染设备有更大的控制权。

根据 iVerify 的说法，P7 可以接收命令以检索任意文件、上传照片、盘点已安装的应用程序、访问 Apple Notes 数据库、收集单个应用容器的数据，以及扫描设备的文件系统。默认情况下，该间谍软件每 15 秒与攻击者的指挥与控制服务器联络一次以获取新指令，尽管该时间间隔可以远程更改。值得注意的是，P7 并不是一种新的 iOS 漏洞，而是一种在成功的 DarkSword 攻击后部署的新版本。

iVerify 并未透露 P7 于 8 月发现的设备运行的 iOS 版本。

如欲查阅 iVerify 的完整报告，其中包括 P7 运作的技术细节，请跟随此链接。

利益声明：本文包含合作商户产品链接，如你通过链接购买，TechRitual 可能获得佣金收入，但不影响产品评价及推荐。详情请参阅隐私政策。