A Censys revelou o funcionamento do DarkSword, plataforma que vende acesso a dispositivos iOS, e do Coruna, o malware que rouba carteiras de criptomoedas depois da invasão. A infraestrutura ficou exposta entre 15 e 17 de setembro.
A entrada é pelo navegador. O DarkSword ataca o WebKit e o JavaScriptCore, escapa do confinamento em que o Safari roda e chega ao núcleo do sistema. Dali instala três camadas, um sinalizador, um controlador e o implante principal.
O Coruna procura a chave de recuperação da carteira, a sequência de palavras que restaura o acesso aos fundos em qualquer aparelho. Ele varre fotos e notas do Apple Notes e só envia as sequências que passam na verificação do padrão BIP39.
São 19 módulos, um para cada carteira visada. Entre elas estão MetaMask, Phantom, Trust Wallet, Coinbase, Exodus, imToken, Bitpie e BitKeep. Também são coletados contatos e as fotos em que aparece o texto da chave.
Uma cópia do servidor exposto trazia 11 chaves de recuperação de vítimas, 179 diretórios com material extraído de aparelhos e 75 contas de operadores. A Censys ressalva que esses números não comprovam 179 vítimas nem o valor roubado.
O painel de controle revela um negócio montado. Há contas de agentes, taxas de comissão e cotas de dispositivos por operador, o que aponta uma operação comercial com revenda, e não um grupo único agindo sozinho.
As infecções ativas confirmadas estão em aparelhos com iOS 16.1 e 16.3.1. A Apple informou que as correções contra o DarkSword foram estendidas a mais dispositivos com iOS 18. Manter o sistema atualizado fecha a porta usada pela plataforma.
