P7 DarkSword ajoute le vol de portefeuilles crypto et un canal C2 bidirectionnel à l’exploit kit iOS
Le 11 octobre 2026, iVerify documente P7 DarkSword, une variante de l’exploit kit iOS DarkSword qui réduit son empreinte, extrait le trousseau et les portefeuilles crypto directement sur l’appareil, et ajoute un canal de commande bidirectionnel. Mettez à jour au-delà d’iOS 18.4.1 et traitez toute chaîne d’exploitation WebKit comme un vecteur de vol d’identifiants, pas comme un simple maliciel mobile.
Novembre 2025. L’exploit kit DarkSword est détecté en conditions réelles sur des iPhone. Mars 2026. Google Threat Intelligence Group, iVerify et Lookout le documentent publiquement. 11 octobre 2026. iVerify révèle une nouvelle variante, P7 DarkSword, qui ajoute le vol du trousseau et des portefeuilles crypto ainsi qu’un canal de commande bidirectionnel. Pourquoi c’est important : ce n’est plus un simple implant de surveillance — c’est un outil de vol financier industrialisé, commercialisé et réutilisé par plusieurs acteurs étatiques et criminels.
Une chaîne d’exploitation devenue produit commercial
DarkSword enchaîne plusieurs vulnérabilités iOS pour sortir du sandbox du navigateur, élever ses privilèges jusqu’au noyau, puis injecter sa charge principale dans SpringBoard, le processus qui gère le lancement des applications et l’écran d’accueil. Le kit cible les iPhone sous iOS 18.4 à 18.7.
L’origine du kit est instructive. Selon les chercheurs, la chaîne d’exploitation est un produit commercial qui a atterri sur un marché de seconde main, d’où des opérateurs financièrement motivés et d’autres acteurs de la menace l’ont acquis depuis fin 2025. La variante P7 tire son nom du préfixe de variable p7_ introduit dans les modifications apportées au code d’origine.
Le kit a été utilisé contre des cibles en Arabie saoudite, en Turquie, en Malaisie et en Ukraine, par plusieurs acteurs : un fournisseur de surveillance commercial turc nommé PARS Defense via un faux site à thème Snapchat, et l’acteur aligné sur la Russie Star Blizzard (alias COLDRIVER) via de fausses invitations. En août 2026, Censys a en outre documenté une campagne menée par un acteur sinophone, doublée d’une fausse page de connexion Apple ID.
Ce que P7 change par rapport à DarkSword
La variante P7 n’est pas un simple reconditionnement : elle est conçue pour être plus discrète et plus rentable. Elle supprime la journalisation de débogage envoyée en HTTP ou via syslog, et utilise le localStorage du navigateur pour éviter une ré-exploitation. Surtout, là où les variantes précédentes copiaient la base du trousseau pour la traiter sur l’infrastructure de l’attaquant, P7 extrait les données du trousseau en JSON directement sur le téléphone avant l’exfiltration.
L’implant injecté dans SpringBoard centralise toute la communication avec l’infrastructure de l’attaquant. Il interroge ses commandes toutes les 15 secondes, envoie un signal de « battement de cœur », la liste des applications installées, le contenu du trousseau iCloud et les données d’applications comme Notes, Photos et les portefeuilles crypto.
La liste des commandes acceptées donne la mesure de la menace. Au-delà des primitives attendues — ls, download, photos, disk_scan, file_upload — on trouve execute_command pour lancer des commandes système (cat, mkdir, rm, memdump, whoami…), exec pour exécuter du JavaScript arbitraire dans le runtime de l’implant, wallet_scan et wallet_extract pour cibler les portefeuilles dont imToken, ainsi que memo_scan et photo_scan pour exfiltrer notes et photos.
La chaîne de distribution : un domaine mort réactivé
La partie la plus frappante de la révélation est le canal de distribution. Le même exploit P7 DarkSword a été observé distribué via un domaine associé à une start-up tchèque d’analytics e-commerce aujourd’hui disparue. Selon Report URI, des acteurs ont ré-enregistré le domaine ecomtrack[.]io le 15 septembre 2026, après son expiration, pour infecter les sites qui intégraient encore les balises de suivi du produit avec un JavaScript malveillant.
« Avec la balise encore présente sur des boutiques en ligne, elle détourne désormais les visiteurs, les revend à des réseaux publicitaires et, dans un cas, délivre une chaîne d’exploitation iOS complète et un implant espion », résume le chercheur Scott Helme. Le JavaScript intègre des mesures d’évasion qui détectent les robots et les navigateurs sans tête pour leur servir du contenu vide.
Une des routes mène à une fausse plateforme de trading crypto (chainmate[.]top) qui sert discrètement la chaîne d’exploitation DarkSword. L’implant ainsi délivré capture SMS, contacts, historique d’appels, messagerie vocale, photos, données Apple Health, historique de localisation, notifications, mots de passe Wi-Fi enregistrés et les fichiers de plus de 25 applications de portefeuille. Le build récupéré (v24) contacte le serveur mertio.cc toutes les 30 secondes.
Cette affaire marque surtout la criminalisation de la surveillance commerciale. DarkSword est né comme un produit de surveillance, au même titre que les outils des vendeurs commerciaux. En atterrissant sur un marché de seconde main, il est devenu un actif partagé entre États et criminels, revendu selon un modèle agent/revente dont le panneau d’administration est exposé sur la plateforme analysée par Censys. La conséquence pour la défense est directe : les marqueurs « réservés aux États » — zero-day rares, chaînes complexes, surveillance ciblée — ne protègent plus personne. Une chaîne d’exploitation qui vaut de l’argent finit toujours par être copiée, reconditionnée et relâchée vers des cibles moins défendues. iVerify observe d’ailleurs des tentatives assistées par LLM pour porter le framework vers iOS 26 : la barrière à l’entrée baisse encore.
Les CVE que la chaîne exploite
L’analyse de Censys sur les répertoires ouverts de cinq serveurs a révélé que l’exploit kit DarkSword repose sur deux CVE non documentées jusqu’alors : CVE-2025-24201, une écriture hors limites dans WebKit permettant de sortir du sandbox du contenu web (corrigée dans iOS 18.3.2 et iPadOS 18.3.2), et CVE-2025-31200, une corruption mémoire dans le framework Core Audio permettant une exécution de code lors du traitement d’un flux audio dans un fichier multimédia malveillant (corrigée dans iOS 18.4.1 et iPadOS 18.4.1).
Ces correctifs datent du printemps 2025. Autrement dit, la chaîne n’exploite pas un zero-day récent : elle réutilise des failles corrigées, ce qui signifie qu’un appareil à jour — au-delà d’iOS 18.4.1 — n’est pas vulnérable à cette chaîne précise. Le risque se concentre sur les appareils qui traînent des versions intermédiaires, un point que les équipes mobiles sous-estiment souvent face aux attaques ciblées.
Les cinq hôtes identifiés incluent un serveur servant DS-Fusion v1.0, un paquet combinant DarkSword et Coruna — un autre kit d’exploitation iOS documenté cette année contre les iPhone sous iOS 13.0 à 17.2.1 — ainsi qu’un espace de travail montrant l’opérateur en train de développer des chaînes pour iOS 26, comme pour CVE-2026-31001, non couvertes par DarkSword ni Coruna. Censys décrit une plateforme d’« exploitation-as-a-service » sinophone, avec un modèle agent/revente exposé dans son panneau d’administration.
Verdict
Si votre parc contient des iPhone sous iOS 18.4.1 ou antérieur, la mise à jour n’est pas optionnelle : la chaîne DarkSword exploite des failles WebKit et Core Audio corrigées depuis 2025, et la variante P7 y ajoute un vol de portefeuilles directement sur l’appareil. Si vous gérez des cadres ou des comptes à privilèges mobiles, ajoutez à votre socle une surveillance des balises web compromises — le vecteur ecomtrack[.]io montre qu’une chaîne d’exploitation complète peut se cacher derrière un simple tag d’analytics oublié sur un site légitime. Si vous évaluez le risque mobile de votre organisation, retenez que la barrière des « attaques ciblées réservées aux États » a sauté : ces chaînes sont désormais vendues, copiées et améliorées — y compris avec l’aide de LLM — par des opérateurs motivés par le profit.