مهرماه ۱۴۰۵ – دنیای امنیت موبایل بار دیگر با شناسایی یک گونه جدید از جاسوس‌افزارهای زنجیره‌ای به نام «P7 DarkSword» لرزید. شرکت امنیتی iVerify در گزارش اخیر خود جزئیات نگران‌کننده‌ای از تکامل این بدافزار منتشر کرده است که نشان می‌دهد مهاجمان با کاهش اثر انگشت دیجیتالی و افزایش قابلیت‌های سرقت داده، آیفون‌های اجراکننده نسخه‌های قدیمی iOS را به شکلی دقیق‌تر هدف قرار داده‌اند.
معماری و تکامل P7 DarkSword
بدافزار DarkSword که برای اولین بار در اوایل سال ۱۴۰۵ توسط گوگل و iVerify شناسایی شد، از زنجیره‌ای از آسیب‌پذیری‌های iOS برای نفوذ به دستگاه‌های با سیستم‌عامل به‌روزرسانی‌نشده استفاده می‌کند. گونه جدید یا همان P7 DarkSword، حاصل مهندسی معکوس و توسعه‌های هدفمند بر پایه نسخه‌های پیشین است. نام «P7» از پیش‌وند متغیر p7_variable گرفته شده که در کدهای تغییریافته بدافزار مشاهده شده است.
ویژگی‌های فنی و قابلیت‌های تهاجمی
گزارش iVerify تأکید می‌کند که P7 نسبت به نسخه‌های اولیه خود در سه حوزه «پنهان‌کاری»، «پایداری» و «کارایی» ارتقای قابل‌توجهی یافته است. تفاوت‌های کلیدی این نسخه عبارتند از:
- استخراج مستقیم Keychain: برخلاف نسخه‌های قبل که دیتابیس کامل Keychain را برای پردازش در جای دیگری کپی می‌کردند، P7 قادر است داده‌های حساس را مستقیماً روی دستگاه استخراج کرده و تنها داده‌های هدف را به سرور C2 ارسال کند.
- ارتباط دوطرفه C2: برقراری کانال ارتباطی دوطرفه با زیرساخت مهاجم که به آن‌ها اجازه می‌دهد به صورت آنی دستوراتی نظیر دریافت فایل‌های دلخواه، آپلود تصاویر، تهیه لیست اپلیکیشن‌های نصب‌شده و دسترسی به دیتابیس Apple Notes را صادر کنند.
- سرقت کیف پول‌های رمزنگاری: افزودن ماژول‌های تخصصی برای شناسایی و سرقت داده‌های اپلیکیشن‌های Wallet و کیف پول‌های رمزارز.
- ردپای کمتر در سیستم: کاهش تزریق پروسه‌ها (Process Injections) و مدیریت دقیق‌تر لاگ‌ها برای دور زدن ابزارهای تشخیص نفوذ (IDS).
مشخصات فنی و تحلیل رفتاری
- هدف اصلی: آیفون‌های اجراکننده نسخه‌های قدیمی و اصلاح‌نشده iOS.
- بازه بررسی در گزارش: آگوست ۲۰۲۶ (مرداد ۱۴۰۵).
- بازه‌های ارتباطی C2: به‌صورت پیش‌فرض هر ۱۵ ثانیه یک‌بار (قابل تنظیم از راه دور).
- روش انتشار: حملات «چاله آب» (Watering Hole) از طریق تبلیغات مخرب.
- تغییرات کلیدی: جایگزینی ایندیکاتورهای آلودگی (IOC) قدیمی که دیگر برای شناسایی این نسخه معتبر نیستند.
بردار حمله و تحلیل ریسک
برخلاف حملات هدفمند گذشته، توزیع P7 DarkSword اکنون از طریق تبلیغات مخرب در وب‌سایت‌های آلوده صورت می‌گیرد. در این روش، قربانیان نه لزوماً به صورت تکی، بلکه در قالب کمپین‌های گسترده‌تر که شامل وب‌سایت‌های مورد اعتماد اما آلوده هستند، مورد حمله قرار می‌گیرند. این تغییر استراتژی نشان می‌دهد که عاملان این بدافزار که مورد حمایت برخی دولت‌ها نیز هستند، به دنبال افزایش سطح دسترسی به داده‌های مالی و خصوصی کاربران در کشورهایی نظیر عربستان، ترکیه، مالزی و اوکراین هستند.
توصیه‌های امنیتی و نتیجه‌گیری
اپل در اقدامی بی‌سابقه، به‌روزرسانی iOS 18.7.7 را حتی برای دستگاه‌هایی که قابلیت نصب iOS 26 را داشتند ارائه داد تا شکاف امنیتی ناشی از این زنجیره اکسپلویت را ببندد. از دیدگاه تیم فنی SilverSky Tech، تنها راه مقابله با این کلاس از جاسوس‌افزارها، به‌روزرسانی فوری سیستم‌عامل و پرهیز از کلیک بر روی محتوای وب‌سایت‌های مشکوک است. شاخص‌های پیشین آلودگی (IOCs) اکنون با نسخه P7 تغییر کرده‌اند و سازمان‌ها باید نظارت شبکه‌ای خود را بر روی ترافیک‌های مشکوک ۱۵ ثانیه‌ای به مقصد سرورهای ناشناس افزایش دهند.
