DarkSwordの流出したiOSエクスプロイトチェーンが、ワンクリックのSafariエクスプロイトと巧妙な偽Apple IDログインページを組み合わせた、動きの速いサーバークラスターの原動力となっています。これにより、数百万台のiPhoneユーザーがシームレスなデバイス侵害と認証情報窃取のリスクにさらされています。
当初、Google Threat Intelligence Group、iVerify、Lookoutによって公表されたこのキットは、その後GitHub(ghh‑jb/DarkSword)に流出し、PACバイパスとサンドボックスエスケープを含む完全なJavaScriptベースのチェーンが誰でも入手できる状態になりました。
同一のコードベースが現在、少なくとも7、おそらく8の無関係なオペレーターの手で稼働しています。共有されたステージングページのハッシュ値や、実運用環境にそのまま持ち込まれたロシア語のコードコメントが証拠となっており、いずれも流出したチェーンをゼロから再実装するのではなく再利用していることが分かります。
最新のオペレーターの一つは、香港、日本、米国、欧州の一部にまたがる100を超えるWebプロパティを管理する中国語圏の攻撃者です。おとりの大半は偽のAWSサインインページを前面に出しており、最新のパターンでは、DarkSwordを提供しているインフラと同居させる形でApple IDログインページも使われています。
この分析は流出情報以外のソースアクセスを一切必要としませんでした。調査担当者は稼働中のインフラのみを手がかりに、パネル本体とエクスプロイトファイルをハッシュ化し、ホストやドメインが週単位で入れ替わる中でどのアーティファクトが固定されたままかを観察しました。
Censysはすでに DarkSword をフィンガープリント化しており、「DarkSword」ARC脅威ラベルとして公開しています。このラベルは2026年7月30日時点で27ホスト、180のWebプロパティに及んでいますが、オペレーターがドメインを立ち上げては放棄するため、この数は常に変動しています。
ラベルはすでにフィンガープリント化されたものしかカバーしないため、調査担当者はさらに踏み込み、オペレーター向けパネルとエクスプロイトのステージングページに正確なSHA‑256ボディハッシュを用いて、ラベルが見逃していたインフラを追跡しました。
DarkSword Adminログインパネルは現在、香港、日本、米国にまたがる7つのホストで応答しており、ポート:3000、:8443、:8888で待ち受け、ユーザー名とパスワードの入力欄は中国語表記になっています。
このパネルのハッシュ値は、配下のホストが7日未満の間隔で入れ替わっている間も一定を保っており、このクラスターを追跡する防御側にとっては、ドメインやポートよりもボディハッシュの一致の方が信頼できる指標となっています。
「Decode Dashboard 登录」パネルに対する並行したハッシュ調査では、PCCW22‑HK(AS135357)に集中する一角が特定され、3つのホストが5ポートのC2フィンガープリントを公開していました。また3つ目のハッシュは、現在Appleをテーマにしたおとりに紐づく「C2 Control Panel」を識別するものでした。
これらすべての基盤となる部分では、別のハッシュ値「50582f8d…」が、ラベル付けされた27ホストすべてに展開されているエクスプロイトチェーンのステージングページを示しており、実際の配信層を検知するための拠り所となっています。
このオペレーターの手口の中で最も危険な進化が見られるのが103.106.190[.]217です。ここでは、「iCloud – Apple」を装ったApple風の認証情報窃取ページが中国語表記のApple IDサインインプロンプトとともに設置されており、DarkSwordのステージングページを提供しているのと同じIPアドレス、同じポートに同居させられています。
Censysの研究者らによると、DarkSwordはWebKit、GPU、ダイナミックリンカ、カーネルにまたがる6つの脆弱性を連鎖させ、iOS 18.4から18.7を実行するiPhoneを完全に侵害する、商用のフルチェーンiOSエクスプロイトキットだということです。
DarkSwordエコシステムにおける従来のおとりは、AWSコンソールや一般的な中国語Webサービス、メディアポータルを装うもので、認証情報の窃取とエクスプロイトの配信は別々のインフラ上で行われていました。今回、Appleを装ったフィッシングがエクスプロイトのステージングに直接組み込まれたのは初めてのケースです。
被害者から見ると、この流れはシームレスです。正規のApple IDログインやクラウドコンソールに見えるページに着地すると、Webルートは静かに既知の「50582f8d…」ステージングページを返し、非表示のframe.html iframeを読み込みます。
DarkSwordのサーバーとiPhone
このiframeはrce_loader.jsと、バージョンごとに用意されたRCEワーカーを読み込み、6つのDarkSword脆弱性を連鎖させてカーネルの読み書き権限を取得し、サンドボックスをエスケープし、GHOSTBLADEモジュールを展開します。
インプラントはその後、キーチェーン、iCloud、Wi‑Fiの認証情報をダンプし、ファイルをC2の収集用エンドポイントに窃取したうえで、窃取したデータをDarkSwordのAdminまたはC2 Control Panelのログイン画面に表示します。
DarkSwordを提供する100のWebプロパティを対象としたファイルレベルのハッシュ調査により、流出元との系譜が明確になりました。ghostblade.js、keychain_copier.js、wifi_password_securityd.js、icloud_dumper.js、file_downloader.jsといった中核となるペイロードモジュールは、どの場所でもバイト単位で完全に一致していました。
これに対し、frame.htmlやrce_loader.jsといったバージョン振り分けおよびローダー関連のコンポーネントは、それぞれ最大10種類、14種類の異なるハッシュ値を示しました。これは、正しいエクスプロイトワーカーのビルドを引き出すためにiOSのバージョンやデバイスプロファイルによって分岐する必要があるためです。
ファイル一式全体を対象とした複合的なchain_fingerprintのレベルで見ると、24種類の異なる展開イメージが確認されましたが、そのうちわずか2つのフィンガープリントだけで観測されたプロパティの60パーセント以上を占めており、残りは長い裾野を形成しているほか、スキャン時点でコアチェーンのファイルを一切配信していない純粋なおとりサイトも一定数存在していました。
調査対象ドメインの半数近くはコアとなるDarkSwordのファイルを一切公開していない一方、一部のプロパティの小さなクラスターは、これまでカタログ化されたハッシュのいずれにも該当しない数十件の新規ファイルを保持しており、コミュニティがまだ十分に分析できていない、大幅に改変された亜種が少なくとも1つ存在することを示唆しています。
Censysのテレメトリからは、このオペレーターが香港のホスティングを好む一方で、単一のASへの依存を避けIPベースのブロッキングを効きにくくするため、NetLab GlobalやPCCWからGNET、cognetcloudまで、意図的に十数社のキャリアに分散させていることが分かります。
現在は活動停止中のシンガポールのホストでは、1つのIP上に3つのDarkSwordパネル、Coruna管理コンソール、そして未認証のMinIOオブジェクトストレージコンソールという珍しい組み合わせが確認されました。これは、CorunaからDarkSwordへのUNC6353の移行をGoogleが以前追跡していた内容と符合するものですが、今では独立したオペレーターたちが共有インフラ上で両方のキットを組み合わせて使っていることを示しています。
中国語のパネルタイトル、zh‑CNのマークアップ、C2 Control Panel上に表示されるグループ名「Asia‑Pacific Group」(亚太集团)、そして目に見える形で掲載されたTelegramの連絡先リンク(t[.]me/YATA0000)は、いずれも中国語圏のオペレーターを示唆していますが、確定的な帰属特定には至っていません。
フランクフルトのホストで露出していた.ssh/authorized_keysファイルには、jkcing@aptというコメントとともにキャッシュされたffufとGoのテレメトリデータが含まれており、オペレーター自身の偵察ツールと、おそらくそのハンドルネームを垣間見る珍しい手がかりとなっています。ただしこれも確定した身元ではなく、あくまで一つの手がかりにとどまります。
100万ドルのデータ侵害保証は本物の補償なのか?: AI SOC違反保証ガイド(10のポイント、無料)をダウンロード
翻訳元: https://gbhackers.com/darksword-server-combines-iphone/
