P7 DarkSword : un nouveau variant de malware iPhone découvert par iVerify

iVerify a publié un rapport détaillant P7 DarkSword, un variant jusqu'ici inédit du malware lié à la chaîne d'exploit iPhone DarkSword, selon 9to5Mac. La découverte a été faite en août 2026 lors de l'investigation d'une infection sur l'iPhone d'un employé d'une institution financière.

P7 DarkSword étend sa compatibilité à iOS 18.7, alors que le variant précédent suivi par iVerify prenait en charge iOS 18.6. L'acteur malveillant derrière P7 le distribue via des publicités malveillantes, dans le cadre d'attaques par watering-hole.

Le nouveau variant réduit son empreinte sur l'appareil, ajoute le vol de trousseau de clés et de portefeuilles crypto sur l'appareil, et intègre une communication bidirectionnelle avec son serveur de commande et contrôle. P7 DarkSword peut extraire directement les données du trousseau avant de les envoyer aux attaquants et recevoir des commandes pour récupérer des fichiers arbitraires, téléverser des photos, inventorier les applications installées, accéder aux bases de données Notes d'Apple, collecter des données dans les conteneurs d'applications et scanner le système de fichiers de l'appareil.

Par défaut, P7 DarkSword contacte le serveur de commande et contrôle des attaquants toutes les 15 secondes, un intervalle modifiable à distance. Il s'agit d'une nouvelle version de malware déployée après une compromission DarkSword, et non d'une nouvelle vulnérabilité iOS.

Contexte

Plus tôt cette année, Google et iVerify avaient révélé deux outils de piratage d'iPhone, Coruna et DarkSword, qui enchaînaient plusieurs vulnérabilités iOS. Coruna ciblait les appareils sous iOS 13 à iOS 17.2.1, tandis que DarkSword affectait les iPhone sous iOS 18.4 à iOS 18.7. Apple a publié les mises à jour iOS 15.8.7, iOS 16.7.15 et iOS 18.7.7 pour les anciennes versions d'iOS concernées, et a rendu iOS 18.7.7 disponible pour les appareils pouvant installer iOS 26. Selon Google, DarkSword était utilisé par des vendeurs de surveillance commerciale et des acteurs suspectés d'être parrainés par des États, avec des attaques en Arabie saoudite, en Turquie, en Malaisie et en Ukraine.