Espião para iPhone chamado P7 DarkSword varre carteiras e pede instruções a cada 15 segundos

A firma de segurança iVerify divulgou em 8 de outubro a P7 DarkSword, uma variante de espionagem para iPhone capaz de localizar aplicativos de carteira de cripto e extrair dados relacionados a eles. A investigação partiu de uma infecção detectada em agosto.

A P7 tem duas funções dedicadas a cripto: uma varre o aparelho em busca de aplicativos de carteira instalados e a outra coleta dados do imToken, que suporta várias redes. O malware também ataca o Keychain do Apple, que guarda senhas e credenciais, e monta as informações extraídas em um arquivo JSON no próprio aparelho antes de enviá-las. Também alcança notas do Apple, fotos e arquivos selecionados de aplicativos, onde usuários podem ter guardado frases de recuperação.

Diferente das versões anteriores, a P7 conversa com um servidor controlado pelo atacante a cada 15 segundos por padrão para pedir instruções que são executadas no iPhone infectado, e o intervalo pode ser alterado. A versão também reduziu registros diagnósticos e injeções de processo para ficar mais difícil de detectar.

A iVerify não apresentou evidência de roubo de cripto concluído, não informou quantos usuários foram atingidos nem estimou perdas. Os pesquisadores também não confirmaram que a variante contorna as correções mais recentes da Apple: os vetores da cadeia DarkSword já haviam sido corrigidos, com proteções disponíveis desde 2025 e o iOS 18.7.7 liberado em 24 de março de 2026. A ameaça depende de o atacante já ter tomado controle do aparelho, e a presença de um arquivo de carteira não significa controle das chaves privadas.

Em março, o Threat Intelligence Group do Google tinha relatado que o DarkSword combinava seis vulnerabilidades para comprometer iPhones com versões do iOS entre 18.4 e 18.7, em campanhas atribuídas a fornecedores de vigilância comercial e atacantes com suposta ligação estatal.