DarkSword iOS漏洞利用工具包
情报显示，一场精心策划的网络攻击活动与 TA446 有关，该组织以 Callisto、COLDRIVER 和 Star Blizzard 等化名而广为人知。该组织与俄罗斯联邦安全局关系密切。
该组织历来专注于以窃取凭证为目标的网络钓鱼攻击。过去一年，其策略不断演变，开始攻击 WhatsApp 账户，并部署定制恶意软件，旨在从高价值用户身上窃取敏感信息。
目录
利用 DarkSword 对付 iOS 设备
新近披露的漏洞利用工具包 DarkSword 使得该威胁行为者能够将攻击范围扩展到苹果设备。这标志着一个重大转变，因为之前的攻击活动并未将目标锁定在 iCloud 账户或 iOS 生态系统上。
该攻击工具包用于通过精心设计的钓鱼邮件传播名为 GHOSTBLADE 的数据窃取程序。这些邮件伪装成大西洋理事会的邀请函，并于 2026 年 3 月 26 日通过被盗用的电子邮件账户分发。攻击目标之一是列昂尼德·沃尔科夫，这凸显了此次攻击活动的政治性质。
一个值得注意的技术特点是选择性目标：非 iPhone 用户会被重定向到无害的诱饵 PDF 文件，这表明服务器端过滤旨在将漏洞利用程序专门提供给兼容的 Apple 设备。
基础设施和恶意软件传播技术
分析证实，此次攻击活动利用了由攻击者控制的基础设施支持的多阶段感染链。证据包括 DarkSword 加载器中指向攻击生命周期中使用的辅助域名的引用。
观察到的关键技术要素包括：
- 交付 DarkSword 漏洞利用工具包组件，包括重定向器、漏洞利用加载器、远程代码执行机制和指针认证码 (PAC) 绕过功能
- 缺乏沙箱逃生技术，表明存在部分但仍然高度危险的漏洞利用部署。
- 通过密码保护的 ZIP 压缩包分发 MAYBEROBOT 后门程序
扩大目标范围预示着战略转变
攻击目标的范围已显著超出传统情报目标。受害者现在包括多个行业的组织：
- 政府机构
这种更广泛的目标锁定模式表明其采取了机会主义策略，很可能是受到新近获得的DarkSword工具包功能的驱动。此次行动似乎将间谍活动与可扩展的凭证窃取行动相结合。
风险升级：漏洞利用工具包泄露与民主化
DarkSword 在 GitHub 上的公开泄露使情况更加复杂。此次泄露引入了即插即用的漏洞利用工具包，降低了技术水平较低的攻击者的入侵门槛。
影响非常重大：
- 先进的国家级能力可能被网络犯罪集团所利用
- 移动威胁活动的数量和多样性都可能增加。
- 人们对iOS设备固有安全性的认知已显著降低。
反应信号严重性
为了应对日益增长的威胁，苹果公司采取了不同寻常的措施，向运行旧版 iOS 和 iPadOS 的用户发出锁屏警报。这些通知会警告用户当前正面临基于网络的攻击尝试，并强烈建议用户立即更新系统。
这一积极主动的措施表明，威胁不仅限于孤立的、备受瞩目的目标，而是被认为足够广泛，需要用户直接干预。
结论：移动威胁形势的转折点
DarkSword漏洞利用工具包的出现和滥用标志着移动网络安全领域的一次重大变革。此次攻击活动表明，高级iOS漏洞利用不再局限于高度定向的情报行动。相反，国家支持的策略与公开可用工具的融合正在重塑威胁格局，使得即使是广泛分布的攻击也能利用精英级技术。
