Kit di exploit DarkSword per iOS

Le informazioni in possesso dell'intelligence rivelano una sofisticata campagna informatica attribuita a TA446, un gruppo ampiamente conosciuto con pseudonimi quali Callisto, COLDRIVER e Star Blizzard. Questo gruppo è strettamente legato al Servizio di sicurezza federale russo.

Storicamente, il gruppo si è specializzato in operazioni di spear-phishing finalizzate al furto di credenziali. Nell'ultimo anno, le sue tattiche si sono evolute fino a includere il targeting di account WhatsApp e l'impiego di famiglie di malware personalizzate progettate per esfiltrare informazioni sensibili da individui di alto profilo.

Utilizzare DarkSword come arma contro i dispositivi iOS.

Un nuovo exploit kit, denominato DarkSword, ha permesso a questo gruppo di hacker di estendere le proprie operazioni ai dispositivi Apple. Ciò rappresenta un cambiamento significativo, dato che le campagne precedenti non si erano concentrate sugli account iCloud o sull'ecosistema iOS.

L'exploit kit viene utilizzato per diffondere GHOSTBLADE, un payload per la raccolta di dati, tramite email di phishing accuratamente create. Questi messaggi, che imitavano inviti provenienti dall'Atlantic Council, sono stati distribuiti tramite account di posta elettronica compromessi il 26 marzo 2026. Tra i bersagli figurava Leonid Volkov, a sottolineare la dimensione politica della campagna.

Una caratteristica tecnica degna di nota riguarda il targeting selettivo: gli utenti non iPhone vengono reindirizzati a file PDF di copertura innocui, il che suggerisce un filtraggio lato server progettato per distribuire l'exploit esclusivamente ai dispositivi Apple compatibili.

Infrastruttura e tecniche di diffusione del malware

L'analisi conferma che la campagna sfrutta una catena di infezione a più fasi supportata da un'infrastruttura controllata dall'autore della minaccia. Le prove includono riferimenti, all'interno di un loader di DarkSword, a un dominio secondario utilizzato nel ciclo di vita dell'attacco.

Gli elementi tecnici chiave osservati includono:

• Consegna dei componenti del kit di exploit DarkSword, inclusi reindirizzatori, caricatori di exploit, meccanismi di esecuzione di codice remoto e funzionalità di bypass del Pointer Authentication Code (PAC).
• Assenza di tecniche di evasione dalla sandbox, il che indica un'implementazione parziale ma comunque molto pericolosa degli exploit.
• Distribuzione della backdoor MAYBEROBOT tramite archivi ZIP protetti da password

Un targeting più ampio segnala un cambiamento strategico.

L'ambito delle attività di intelligence si è ampliato notevolmente, andando ben oltre i tradizionali obiettivi di intelligence. Tra le vittime figurano ora organizzazioni di molteplici settori:

• Istituzioni governative

• think tank e organizzazioni di ricerca

• Enti di istruzione superiore

• settori finanziario e legale

Questo schema di targeting più ampio suggerisce una strategia opportunistica, probabilmente guidata dalle nuove capacità acquisite dal toolkit DarkSword. La campagna sembra combinare obiettivi di spionaggio con operazioni scalabili di raccolta di credenziali.

Rischio crescente: la diffusione degli exploit kit e la loro democratizzazione

La situazione è ulteriormente complicata dalla fuga di notizie pubblica di DarkSword su GitHub. Questa versione introduce una versione plug-and-play dell'exploit kit, abbassando la soglia di accesso per gli attaccanti meno esperti.

Le implicazioni sono considerevoli:

• Le capacità avanzate degli stati nazionali potrebbero diventare accessibili ai gruppi di criminali informatici.
• Le attività di minaccia mobile potrebbero aumentare sia in volume che in diversità.
• La percezione dei dispositivi iOS come intrinsecamente sicuri è notevolmente indebolita

Segnali di risposta di elevata gravità

In risposta alla crescente minaccia, Apple ha adottato la misura insolita di inviare avvisi sulla schermata di blocco agli utenti che utilizzano versioni obsolete di iOS e iPadOS. Queste notifiche avvertono di tentativi di sfruttamento della vulnerabilità in corso tramite il web e raccomandano vivamente di aggiornare immediatamente il sistema.

Questa misura proattiva indica che la minaccia non si limita a obiettivi isolati e di alto profilo, ma è considerata sufficientemente diffusa da giustificare un intervento diretto da parte degli utenti.

Conclusione: un punto di svolta nel panorama delle minacce per dispositivi mobili.

L'emergere e l'uso improprio dell'exploit kit DarkSword segnano un'evoluzione cruciale nella sicurezza informatica mobile. La campagna dimostra che lo sfruttamento avanzato delle vulnerabilità iOS non è più limitato a operazioni di intelligence altamente mirate. Al contrario, la convergenza di tattiche sponsorizzate da stati e strumenti pubblicamente disponibili sta rimodellando il panorama delle minacce, in un contesto in cui anche attacchi ampiamente distribuiti possono sfruttare capacità d'élite.