新型iPhone间谍软件可每15秒追踪加密钱包并提取数据

研究人员发现了一种新的iPhone间谍软件变种，可以远程提取受感染设备上的加密货币钱包数据和敏感凭证。

安全公司iVerify在10月8日披露了这种被称为P7 DarkSword的恶意软件，此前在8月份发现了一起感染事件。该变种包含专门针对加密货币钱包应用的命令，可以收集密码、照片和个人信息。

这一发现突显了依赖移动钱包的加密货币持有者面临的新风险：攻击者如果获得了对基础设备的访问权限，可以在不利用钱包应用本身漏洞的情况下获取敏感信息。

间谍软件如何针对加密货币钱包

根据iVerify的技术调查，P7包含两个专门的功能来识别和收集与加密货币相关的信息。

第一个功能wallet_scan，搜索受感染设备上安装的钱包应用，允许攻击者识别潜在目标。

第二个功能wallet_extract，旨在收集与imToken相关的数据，imToken是一款支持多条区块链网络的加密货币钱包。

这些命令使攻击者能够识别加密货币用户，并在获得对其手机的访问权限后检索与钱包相关的文件。

该间谍软件还针对苹果的钥匙串，这是用于存储密码、身份验证凭证和其他敏感信息的系统。

早期的DarkSword变种复制了钥匙串数据库并将其传输到攻击者控制的基础设施进行处理。

而P7则在受感染的设备上直接准备提取的钥匙串信息为JSON文件，然后再进行传输。

这一修改改变了恶意软件处理收集到的凭证的方式，并可能使攻击者在数据到达其服务器后获得更立即可用的信息。

这一威胁不仅限于加密钱包应用本身。

P7可以收集Apple Notes数据库、照片和选定的应用文件。这些来源可能包含敏感的财务信息，包括恢复短语或钱包凭证，如果用户将其存储在此处。

然而，获取钱包文件或发现已安装的应用并不自动建立对其私钥的控制。未经授权的交易的潜力取决于恶意软件成功检索到的信息，以及这些信息是否足以授权转账。

一个更重要的发展是该间谍软件扩展了远程控制能力。

P7默认每15秒与攻击者控制的服务器通信，请求可以在受感染手机上执行的指令，而不是完全依赖于预定的收集过程。

操作员可以调整该间隔，搜索特定文件，并在不需要再次感染其他设备的情况下启动额外的收集活动。

研究人员还发现了旨在使间谍软件更难以检测和更可靠的修改。

这些修改包括消除某些诊断日志、减少进程注入的数量，以及使用浏览器存储来防止可能使受感染设备不稳定的重复利用尝试。

这些变化表明，恶意软件正在向更有针对性、持续收集敏感信息的方向发展，可能使攻击者在获得访问权限后调查受害者的财务活动。

尽管如此，iVerify并未披露已完成的加密货币盗窃的证据，也未确定受影响的钱包用户数量或量化任何财务损失。

苹果早期的安全修复面临不断演变的威胁

这一发现是在数月努力遏制DarkSword之后的结果，DarkSword是一个之前被多个监视操作员使用的iPhone利用框架。

在3月份，谷歌的威胁情报组报告称，DarkSword结合了六个漏洞，能够攻击运行某些版本iOS 18.4至18.7的iPhone。

谷歌识别了涉及商业监视供应商和怀疑为国家支持的攻击者的活动，目标用户包括沙特阿拉伯、土耳其、马来西亚和乌克兰的用户。

该框架允许攻击者通过恶意网页内容利用易受攻击的设备，并随后部署能够提取个人和财务信息的软件，包括加密货币钱包数据。

然而，P7代表了一种在成功攻击后部署的间谍软件的演变，而不是苹果操作系统中新漏洞的确认。

苹果已经解决了与已记录的DarkSword利用链相关的漏洞。

根据该公司的安全建议，相关保护措施首次在2025年可用。

苹果随后于2026年3月24日发布了iOS 18.7.7，并于4月1日扩大了对其他设备的可用性，以保护仍在使用旧操作系统版本的用户。

这些保护措施很重要，因为iVerify发现的能力依赖于攻击者首先感染设备。

10月的调查并未确定P7是否能够绕过最新的iOS安全更新，研究人员也未发布特定变种的评估，识别哪些已修补的版本仍然易受攻击。

尽管如此，苹果建议安装最新的兼容软件并启用自动更新，而谷歌早期的DarkSword研究也建议在无法更新时使用锁定模式。