DarkSwordのiPhone向け新亜種、キーチェーンとウォレットのデータを窃取

iPhoneへの感染により、DarkSwordの運用者は一度きりのファイル窃取にとどまらない攻撃を仕掛けられるようになりました。新たに確認された亜種は、Appleのキーチェーンや暗号資産ウォレットのデータを抽出できるうえ、攻撃者から新たな命令を受け取ることもできます。

モバイルセキュリティ企業のiVerifyは10月8日、8月に顧客の感染端末を調査した結果として「P7 DarkSword」を公表しました。この改変版スパイウェアは、活動の痕跡を一部減らし、攻撃者のインフラに接続して追加の指示を受け取ります。業務サービスへのアクセスにiPhoneを使う従業員にとっては、個人情報だけでなく、仕事用アカウントを開けてしまう認証情報も懸念されます。

P7 DarkSword、キーチェーンデータを抽出しリモートコマンドも受け付ける

iVerifyによると、P7はキーチェーンのデータをiPhone上でJSONファイルに加工してから攻撃者へ送信します。従来のDarkSword亜種は、データベースをそのままコピーし、攻撃者側のインフラで処理していました。P7はさらに、プロセスインジェクションやログ記録を減らし、ブラウザのストレージを使って繰り返しの悪用を避けます。

インプラントは、ホーム画面を管理するiOSのプロセスであるSpringBoardに注入された後、約15秒ごとに攻撃者の管理するサーバーへ問い合わせます。運用者は、Apple Notes、写真、アプリのファイル、ウォレットのデータを要求したり、ディレクトリを調べたり、コマンドを実行したりできます。ポーリング間隔をリモートから変更することも可能です。

失効した分析ドメインがDarkSwordの配布に利用される

The Hacker Newsは10月12日、攻撃者がかつてECサイト向け分析サービスを提供していた事業者の失効ドメイン、ecomtrack[.]ioを再登録したと報じました。このドメインのトラッキングタグを読み込み続けていたストアは、知らないうちに一部の訪問者を悪意あるリダイレクトへ誘導していました。経路の一つは偽の暗号資産サイトにつながり、DarkSwordのiOSエクスプロイトチェーンを配信していました。

これまでに確認されているDarkSwordの攻撃は、18.4から18.7を含む特定のバージョンのiOS 18を標的にしていました。入手可能な報告からは、すべてのiPhoneが脆弱であることや、P7が完全にアップデートされた端末を侵害できることは確認されていません。

窃取されたキーチェーンデータが企業アカウントを危険にさらす恐れ

侵害されたキーチェーンには、ユーザーが保存した内容やマルウェアがアクセスした範囲に応じて、メールやクラウドサービス、業務アプリに関する認証情報が含まれる可能性があります。リモートコマンドの存在はこの懸念をさらに強めます。調査担当者は、運用者がほかにどのような情報を収集した可能性があるのかを突き止める必要があるためです。

Aviatrixは、この脅威をキーチェーンの認証情報へのアクセスとデータ流出に対応付けています。この分析は、スマートフォン本体だけでなく、連携するアカウントも調査する必要性を示しています。ただし、P7による金銭的損失が確認されたとまでは述べていません。

セキュリティチームはiPhoneと影響を受けたアカウントを確認すべき

機密性の高い業務システムにアクセスする、未パッチのiPhoneを優先して確認してください。必要に応じて、従業員の個人端末も対象に含めます。iOSのバージョンが古い場合は精査が必要ですが、それだけで感染の証拠にはなりません。

• 痕跡の探索: 入手可能なモバイル脅威情報とネットワークテレメトリで、iVerifyが報告したコマンド＆コントロールのドメイン、agdx53[.]ccを確認します。フォレンジックのアクセスが可能であれば、/private/var/tmp/keychain_c2_dump.jsonの有無も調べます。
• 疑わしい端末の封じ込め: アクセスを制限して証拠を保全し、連携する業務アカウントで不審なサインインやファイル操作がないか調べます。
• 漏えいした可能性のある認証情報の保護: 有効なセッションを無効化し、信頼できる端末から関連パスワードを変更します。暗号資産アカウントがあった場合は、ウォレットの復旧情報についても評価します。

ウェブサイトの運営者も、古い分析タグを監査し、ドメインが正当な管理下にあることを確認する必要があります。iOSのアップデートは、パッチ済みの脆弱性が悪用されるのを防ぎますが、すでに盗まれた情報を取り戻すことはできません。DarkSwordの感染が疑われる場合は、端末のインシデントであると同時に、アカウント侵害の可能性もあるものとして扱ってください。そうしなければ、端末を保護した後も、攻撃者がアクセス権を長く保持し続ける恐れがあります。

DarkSwordは、別のiPhone詐欺にも登場しています。偽のiPhone Duo予約ページが未パッチの端末をどのように悪用しようとしたのかと、ユーザーが取れる対策をご覧ください。