LONDON (IT BOLTWISE) – Ein geleaktes DarkSword-Exploitkit wird offenbar erneut für Angriffe auf Apple iOS eingesetzt. Die Kampagne startet über nachgeahmte AWS- oder Apple-ID-Loginseiten und nutzt ab iOS 18.4 bis 18.7 eine inzwischen gepatchte Angriffsstrecke. Am Ende landet die Malware GHOSTBLADE auf dem Gerät und stiehlt Zugangsdaten aus Keychain, iCloud und sogar gespeicherten Wi‑Fi-Profilen. Beobachter sehen darin vor allem den Effekt des öffentlichen Quellcode-Leaks: Weitere Akteure können schneller nachziehen.
Das DarkSword-Exploitkit taucht nach einem öffentlichen Quellcode-Leck wieder auffällig in iOS-Angriffen auf. Dabei beschreibt Censys den Ablauf nicht als isoliertes „Proof-of-Concept“, sondern als Kampagne, die auf mehreren Zielsystemen und über viele Web-Assets verteilt ist. Laut Analyse hat ein „unknown Chinese-threat actor“ über 100 Web-Properties betrieben, die zu einer Infrastruktur gehören, in der die DarkSword-Komponenten zusammen mit Landingpages zur Erhöhung der Erfolgschancen gehostet werden. Besonders relevant ist die geographische Streuung: Die Hosting-Schwerpunkte liegen zwar in Hongkong, reichen aber in den Angaben bis nach Japan, in die USA und nach Europa.
Technisch betrachtet nutzt das Kit offenbar eine klassische Einfallsschiene: Ein Victim wird zuerst auf eine präparierte Seite gelotst, etwa auf eine AWS-Console-Impersonation oder auf eine Apple-ID-Anmeldeseite. Dort wird dann ein bösartiges iframe-Element nachgeladen, das wiederum JavaScript ausführt. Dieses Skript triggert schließlich die DarkSword-„Full-chain“-Abfolge und setzt die eigentliche Nutzlast in Gang. Auffällig ist, dass das Exploitkit gezielt iOS-Versionen 18.4 bis 18.7 adressiert – also genau die Bandbreite, die damit im Nachgang als gepatchte Angriffsoberfläche gilt. Für Verteidiger heißt das: Selbst wenn einzelne Komponenten nach dem Patch-Zeitfenster „aus dem Rennen“ fallen, kann die restliche Social-Engineering- und Lure-Infrastruktur weiter bestehen und neue Varianten hervorbringen.
Mit GHOSTBLADE landet am Ende ein Informationsdiebstahlstool auf dem System, das nach dem erfolgreichen Exploit nicht nur kurz „nachladen“, sondern aktiv Daten sammeln soll. Die Beschreibung nennt Module für Keychain- und iCloud-Daten sowie für das Dumping von Wi‑Fi-Credentials. Dazu kommt ein File-Exfiltration-Sweep, der die abgegriffenen Inhalte bündelt und zu attacker-controlled Endpoints überträgt. Was das Angriffsprofil dadurch bekommt, ist eine Kombination aus kurzfristigem Zugriff und anschließender Breitenabfrage persönlicher und nutzungsrelevanter Datenbestände. Für Unternehmen und Organisationen, die iOS-Clients verwalten, ist genau diese Mischung aus Identitätsdaten und Netzwerkzugängen riskant, weil sich daraus unmittelbar Session-Übernahmen, weitergehende Kontenangriffe und ein stärkerer Footprint für nachgelagerte Kampagnen ableiten lassen.
Besonders greifbar wird das Ganze durch die Beobachtungen rund um die Betreiber-„Panels“. Censys führt unter anderem „DarkSword Admin“, „Decode Dashboard“ und ein „C2 Control Panel“ an, in das sich Angreifer einloggen, um die gestohlenen Daten zu extrahieren. In der Clusterbeschreibung werden außerdem konkrete IP-Adressen genannt: etwa ein Host in Singapur, der laut Angaben inzwischen nicht mehr aktiv ist, sowie weitere Ziele, die auch unterschiedliche Frontends ausliefern. Ein Beispiel: Auf dem Panel-Login „38.22.89[.]117:8888“ enthalten die Formularfelder chinesischsprachige Labels für „username“, „password“ und „Log in“, während die weiteren Adressen jeweils eigene Panel-Instanzen bilden. In den Details taucht zudem ein C2-Panel-Charakteristikum auf: eine visuell markante Gestaltung mit einem nahezu schwarzen Hintergrund (#06060d), einem magenta/rosa Akzent (#ff0050), einem animierten Particle-Canvas und einem direkt eingeblendeten Gruppennamen (mit chinesischen Zeichen für „Asia-Pacific Group“) sowie einem sichtbaren Telegram-Kontakt (hxxps: //t[.]me/YATA0000).
Der Censys-Report ordnet den jüngsten Schritt vor allem als Skalierung nach dem Leak ein. Laut Beschreibung deutet die Evidenz darauf hin, dass es sich nicht um eine reine Neuentwicklung handelt, sondern der „leaked kit“-Stand weiterverwendet wird. Das wird u. a. über eine „shared staging-page hash“ sowie erhaltene russischsprachige Code-Kommentare aus dem geleakten Quellmaterial begründet. Genau diese Art von Wiederverwendung ist für den Markt riskant: Sobald Quellcode und Anwendungslogik frei verfügbar werden, sinkt die Einstiegshürde für weitere Akteure. Damit verschiebt sich die Verteidigung nicht nur in Richtung Patch-Management, sondern auch in Richtung der Erkennung von wiederkehrenden Landingpage-Mustern und von typischen Auslieferungswegen wie dem Zusammenspiel aus gefälschten Login-Seiten und nachgeladenem JavaScript.
Hinzu kommt ein historisch gewachsener Kontext, weil DarkSword offenbar nicht „allein“ agiert. Censys nennt einen früheren iOS-Exploitkit („Coruna“), der vor DarkSword datiert und iOS-Versionen von 3.0 bis 17.2.1 angreift. Für diesen Zusammenhang wird auch ein Host in Singapur herangezogen, der ein Administrationspanel für Coruna bereitstellte. Außerdem gibt es Hinweise, dass ein bestimmter Akteur namens UNC6353 in früheren Angriffen sowohl DarkSword als auch Coruna in ukrainischen Zielkontexten genutzt haben soll; in den vorliegenden Angaben bleibt das allerdings als „some evidence“ beschrieben, ohne dass ein finaler Nachweis im Text belegt wird. Ergänzend findet sich eine weitere Spur: In Frankfurt sei eine offene Verzeichnisauflistung (93.152.221[.]37) entdeckt worden, die Betreiber-Tooling offenlegt, darunter eine SSH-Key-Kommentarzeile („jkcing@apt“), einen Web-Content-Fuzzer sowie Verweise auf eine zuvor nicht dokumentierte Malware-Familie namens „Thorn C2“. Solche Informationslecks sind für Blue Teams besonders wertvoll, weil sie intern verwendete Werkzeuge und Namenskonventionen preisgeben, die später in der Erkennung wieder auftauchen können.
Für die Praxis ergibt sich daraus ein mehrschichtiger Handlungsdruck. Erstens sollten iOS-Clients in den betroffenen Versionslinien nach Möglichkeit konsequent auf den Patch-Stand gebracht werden, weil das Kit genau für 18.4 bis 18.7 spezifiziert wurde. Zweitens lohnt sich die Überwachung von Anmelde- und Redirect-Verhalten: Wenn eine scheinbar legitime Loginseite in einem Schritt eine iframe-Nachladung plus JavaScript-Execution anstößt, ist das ein klares Erkennungsfenster. Drittens sollten Organisationen die „Operator-Panels“ als Indikatorsträger betrachten: Visuell unterscheidbare Frontends und wiederkehrende Kontaktkanäle können bei der Threat-Hunting-Phase helfen, auch wenn die eigentliche Nutzlast variiert. Insgesamt zeigt der Fall, wie sehr die Effektivität von Exploitkits nicht allein von der Schwachstelle abhängt, sondern auch von Infrastruktur, Social-Engineering-„Lure“-Design und dem schnellen Re-Deployment nach Code-Leaks.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DarkSword-Leck treibt iOS-Angriffe an: GHOSTBLADE-Diebstahl über Fake-Login-Seiten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DarkSword-Leck treibt iOS-Angriffe an: GHOSTBLADE-Diebstahl über Fake-Login-Seiten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DarkSword-Leck treibt iOS-Angriffe an: GHOSTBLADE-Diebstahl über Fake-Login-Seiten« bei Google Deutschland suchen, bei Bing oder Google News!