中国語を話す脅威アクターが、流出したDarkSword iOSエクスプロイトキットを、少なくとも180件のWebプロパティにわたって展開していることが、インフラスキャンデータから明らかになりました。
この活動には、ホストのローテーション、偽のクラウドおよびApple IDログインページ、さらに盗んだデータを管理するための複数のコントロールパネルが関わっています。
DarkSwordは、iOS 18.4からiOS 18.7を標的とする商用のiOSエクスプロイトチェーンです。このキットは6件の脆弱性を組み合わせることで、セキュリティ制御を回避し、サンドボックスから脱出したうえで、認証情報窃取モジュールを展開すると報告されています。
そのソースコードはghh-jb/DarkSwordというGitHubリポジトリを通じて公開の形で流出しており、これによって本来無関係な複数の攻撃者がこのキットを利用できるようになりました。
今回確認されたクラスターは、これまでのDarkSword展開事例よりも規模が大きく、活動も活発なようです。2026年7月30日時点で、CensysのDarkSword脅威ラベルは27件のホストと180件のWebプロパティをカバーしていました。
ただし研究者らは、これを最小値にすぎないと評価しています。攻撃者が自動フィンガープリントによる特定を逃れるため、ドメインやホスティングインフラを頻繁に入れ替えているためです。
このキャンペーンでは主に偽のAWSコンソールページ、iOSをテーマにした誘導ページ、そして最近ではApple IDフィッシングページが使われています。
研究者らは、103.106.190[.]217にあるホストが、Appleブランドを装った認証情報収集ページとDarkSwordのエクスプロイトステージングコンテンツの両方を提供していることを確認しました。
このように両者を同一ホストに同居させている点は注目に値します。従来のインフラでは、フィッシングページとエクスプロイト配信サーバーは分離されているのが一般的だったためです。
最も信頼できる追跡手掛かりは、ドメイン名やポート番号ではなく、インフラ全体で使い回されている静的なWebページ本文のハッシュ値です。
あるDarkSword管理者ログインページのハッシュ値46a0bd09f145ab909e5bf45fafe906f452f06971bd227653f0c52af8e22da89eは、香港、日本、米国にまたがる7件のホストで確認されました。
これらのホストは異なるプロバイダーを使用しており、パネルはポート3000、8443、8888などを通じて公開されていました。
7件のホストのうち5件は1週間以内に新規で立てられたものであり、インフラの入れ替わりが激しいことがうかがえます。それでもパネルのHTML本文は変わらないままであり、ハッシュベースの検知のほうが、個々のIPアドレスやポートをブロックするよりも持続的に有効であることを示しています。
研究者らはまた、主要な攻撃者用パネルとして「DarkSword Admin」「Decode Dashboard」「C2 Control Panel」という3つの主要なバリエーションを特定しました。
香港を拠点とするDecode Dashboardのクラスターでは、3件のホストにわたってポート8000、8881、8882、8888、9999という5つのポートを使うパターンが確認されました。
別のパネルには中国語のラベルが含まれていた一方、また別のC2 Control Panelには「Asia-Pacific Group」という名称とTelegramの連絡先リンクが表示されていました。
現在はオフラインになっているシンガポールのホストは、攻撃者が1台のサーバー上に複数のツールを組み合わせて運用し得ることを示す例でした。このホストではDarkSwordパネル、Coruna管理パネル、iOS Exploit Dashboard、そしてMinIOオブジェクトストレージコンソールが公開されていました。
Corunaは、以前のバージョンのiOSに対する攻撃に関連していた、より古いiOSエクスプロイトキットです。研究者らは公開されているいずれのサービスにも認証を行っていないため、これらのパネルの背後に保存されているデータについては不明のままだと、Censysは述べています。
DarkSwordの配信は、被害者が誘導用Webサイトにアクセスした時点で始まります。ステージングページは隠されたframe.htmlのiframeを読み込み、そこからバージョン固有のエクスプロイトローダーを取得します。
このローダーはブラウザのユーザーエージェントからiOSのバージョンを読み取り、デバイスのバージョンに応じて異なるエクスプロイトワーカーを選択します。
SOC調査の死角を減らし、脅威をより早期に封じ込めることで、ANY.RUNによって対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/chinese-operator-deploys-darksword/
