Biến thể mới của bộ công cụ khai thác DarkSword không chỉ cải thiện khả năng ẩn mình mà còn có thể thu thập dữ liệu từ iCloud Keychain, ứng dụng ghi chú, ảnh và ví tiền điện tử. Đáng chú ý, mã độc hỗ trợ nhận lệnh từ xa, cho phép kẻ tấn công tiếp tục khai thác thiết bị sau khi xâm nhập thành công.
Các nhà nghiên cứu bảo mật vừa phát hiện P7 DarkSword, biến thể mới của bộ công cụ khai thác iOS DarkSword, với những thay đổi đáng kể về khả năng đánh cắp dữ liệu và liên lạc với máy chủ điều khiển của tin tặc. Theo báo cáo của công ty an ninh di động iVerify được The Hacker News dẫn lại ngày 9/10/2026, biến thể này giảm dấu vết hoạt động trên thiết bị, đồng thời bổ sung khả năng thu thập dữ liệu chuỗi khóa và thông tin liên quan đến ví tiền điện tử ngay trên iPhone bị xâm nhập.
DarkSword được công bố lần đầu vào tháng 3/2026 bởi Google Threat Intelligence Group, iVerify và Lookout. Bộ công cụ này kết hợp nhiều lỗ hổng iOS để thoát khỏi vùng cách ly của trình duyệt, nâng quyền trong hệ thống và đưa mã độc vào SpringBoard - tiến trình quản lý màn hình chính và việc khởi chạy ứng dụng trên iPhone.
Khác với một lỗ hổng đơn lẻ, DarkSword là một chuỗi khai thác có khả năng tận dụng nhiều điểm yếu để chiếm quyền kiểm soát thiết bị. Công cụ này từng được ghi nhận trong các chiến dịch nhắm tới người dùng tại Saudi Arabia, Thổ Nhĩ Kỳ, Malaysia và Ukraine.
Các nhà nghiên cứu bảo mật vừa phát hiện P7 DarkSword, biến thể mới của bộ công cụ khai thác iOS DarkSword, với những thay đổi đáng kể về khả năng đánh cắp dữ liệu và liên lạc với máy chủ điều khiển của tin tặc. Theo báo cáo của công ty an ninh di động iVerify được The Hacker News dẫn lại ngày 9/10/2026, biến thể này giảm dấu vết hoạt động trên thiết bị, đồng thời bổ sung khả năng thu thập dữ liệu chuỗi khóa và thông tin liên quan đến ví tiền điện tử ngay trên iPhone bị xâm nhập.
DarkSword được công bố lần đầu vào tháng 3/2026 bởi Google Threat Intelligence Group, iVerify và Lookout. Bộ công cụ này kết hợp nhiều lỗ hổng iOS để thoát khỏi vùng cách ly của trình duyệt, nâng quyền trong hệ thống và đưa mã độc vào SpringBoard - tiến trình quản lý màn hình chính và việc khởi chạy ứng dụng trên iPhone.
Khác với một lỗ hổng đơn lẻ, DarkSword là một chuỗi khai thác có khả năng tận dụng nhiều điểm yếu để chiếm quyền kiểm soát thiết bị. Công cụ này từng được ghi nhận trong các chiến dịch nhắm tới người dùng tại Saudi Arabia, Thổ Nhĩ Kỳ, Malaysia và Ukraine.
Từ đánh cắp dữ liệu đến điều khiển thiết bị từ xa
Điểm khác biệt đáng chú ý của P7 DarkSword là cách xử lý dữ liệu nhạy cảm. Thay vì sao chép toàn bộ cơ sở dữ liệu Keychain về máy chủ của tin tặc để xử lý như những biến thể trước, mã độc mới trích xuất dữ liệu ngay trên thiết bị, chuyển thành định dạng JSON rồi mới gửi ra ngoài. Cách làm này giúp giảm lượng dữ liệu phải chuyển đi và có thể khiến hoạt động đánh cắp khó bị phát hiện hơn.
iCloud Keychain là nơi lưu trữ các thông tin như mật khẩu và dữ liệu xác thực được đồng bộ trong hệ sinh thái Apple. Khi truy cập được dữ liệu phù hợp, kẻ tấn công có thể thu thập thông tin có giá trị để tiếp tục xâm nhập các tài khoản trực tuyến.
iCloud Keychain là nơi lưu trữ các thông tin như mật khẩu và dữ liệu xác thực được đồng bộ trong hệ sinh thái Apple. Khi truy cập được dữ liệu phù hợp, kẻ tấn công có thể thu thập thông tin có giá trị để tiếp tục xâm nhập các tài khoản trực tuyến.
P7 DarkSword còn có khả năng thu thập dữ liệu từ Apple Notes, thư viện ảnh, các vùng lưu trữ của ứng dụng và ví tiền điện tử. Theo phân tích của iVerify, mã độc có thể gửi danh sách ứng dụng đã cài đặt, quét hệ thống tệp và tải dữ liệu được lựa chọn lên máy chủ điều khiển.
Đáng lo ngại hơn, mã độc duy trì liên lạc hai chiều với hạ tầng điều khiển và ra lệnh (C2). Theo cấu hình được phân tích, thiết bị bị nhiễm sẽ liên hệ máy chủ khoảng 15 giây một lần để kiểm tra lệnh mới. Kẻ tấn công có thể yêu cầu thu thập tệp, tải ảnh, kiểm kê ứng dụng hoặc truy xuất dữ liệu từ những vùng lưu trữ cụ thể. Như vậy, P7 không chỉ lấy dữ liệu trong một lần xâm nhập mà còn cung cấp cơ chế để tin tặc tiếp tục điều khiển hoạt động thu thập thông tin từ xa.
Đáng lo ngại hơn, mã độc duy trì liên lạc hai chiều với hạ tầng điều khiển và ra lệnh (C2). Theo cấu hình được phân tích, thiết bị bị nhiễm sẽ liên hệ máy chủ khoảng 15 giây một lần để kiểm tra lệnh mới. Kẻ tấn công có thể yêu cầu thu thập tệp, tải ảnh, kiểm kê ứng dụng hoặc truy xuất dữ liệu từ những vùng lưu trữ cụ thể. Như vậy, P7 không chỉ lấy dữ liệu trong một lần xâm nhập mà còn cung cấp cơ chế để tin tặc tiếp tục điều khiển hoạt động thu thập thông tin từ xa.
Website tưởng như vô hại có thể trở thành điểm phát tán
Một chi tiết khác trong báo cáo cho thấy P7 DarkSword được phát tán thông qua một tên miền liên quan đến dịch vụ phân tích thương mại điện tử đã ngừng hoạt động. Sau khi tên miền hết hạn và được đăng ký lại, những website vẫn nhúng mã theo dõi cũ có nguy cơ bị lợi dụng để phân phối JavaScript độc hại.
Theo nhà nghiên cứu Scott Helme, mã JavaScript này có thể phân biệt người truy cập thông thường với trình thu thập dữ liệu hoặc môi trường tự động, từ đó che giấu nội dung độc hại trước các hệ thống kiểm tra. Một số luồng truy cập dẫn người dùng đến trang web giả mạo nền tảng giao dịch tiền điện tử, nơi chuỗi khai thác iOS có thể được triển khai.
Đây là hình thức tấn công thường được gọi là watering-hole: kẻ tấn công lợi dụng website mà nhóm người dùng mục tiêu có khả năng truy cập, thay vì nhất thiết phải gửi tệp độc hại trực tiếp đến từng nạn nhân. Người dùng có thể không nhận ra website đã bị can thiệp, đặc biệt khi nội dung hiển thị ban đầu vẫn bình thường.
Tuy nhiên, việc truy cập một website đáng ngờ không đồng nghĩa mọi iPhone đều sẽ bị nhiễm mã độc. Khả năng khai thác phụ thuộc vào phiên bản iOS, lỗ hổng mà chuỗi tấn công sử dụng và các điều kiện kỹ thuật liên quan.
Theo nhà nghiên cứu Scott Helme, mã JavaScript này có thể phân biệt người truy cập thông thường với trình thu thập dữ liệu hoặc môi trường tự động, từ đó che giấu nội dung độc hại trước các hệ thống kiểm tra. Một số luồng truy cập dẫn người dùng đến trang web giả mạo nền tảng giao dịch tiền điện tử, nơi chuỗi khai thác iOS có thể được triển khai.
Đây là hình thức tấn công thường được gọi là watering-hole: kẻ tấn công lợi dụng website mà nhóm người dùng mục tiêu có khả năng truy cập, thay vì nhất thiết phải gửi tệp độc hại trực tiếp đến từng nạn nhân. Người dùng có thể không nhận ra website đã bị can thiệp, đặc biệt khi nội dung hiển thị ban đầu vẫn bình thường.
Tuy nhiên, việc truy cập một website đáng ngờ không đồng nghĩa mọi iPhone đều sẽ bị nhiễm mã độc. Khả năng khai thác phụ thuộc vào phiên bản iOS, lỗ hổng mà chuỗi tấn công sử dụng và các điều kiện kỹ thuật liên quan.
Cập nhật iOS vẫn là lớp phòng vệ quan trọng
Các lỗ hổng được ghi nhận trong chuỗi DarkSword bao gồm CVE-2025-24201, liên quan đến lỗi ghi dữ liệu vượt giới hạn trong WebKit, và CVE-2025-31200, liên quan đến lỗi hỏng bộ nhớ trong Core Audio. Apple đã phát hành bản vá cho các lỗ hổng này trong những phiên bản cập nhật trước đó. Người dùng nên cập nhật iOS lên phiên bản mới nhất mà thiết bị hỗ trợ, đồng thời tránh tiếp tục sử dụng các phiên bản đã hết hỗ trợ bảo mật. Việc cập nhật không chỉ bổ sung tính năng mà còn khắc phục những điểm yếu có thể bị kết hợp thành chuỗi khai thác.
Bên cạnh đó, người dùng cần thận trọng với các đường dẫn được quảng cáo qua mạng xã hội, tin nhắn hoặc website lạ, đặc biệt là những trang yêu cầu đăng nhập tài khoản Apple hay ví tiền điện tử. Nếu nghi ngờ thiết bị bị xâm nhập, nên sử dụng một thiết bị đáng tin cậy khác để kiểm tra tài khoản, thay đổi thông tin xác thực quan trọng và liên hệ bộ phận hỗ trợ chính thức khi cần.
P7 DarkSword cho thấy công cụ khai thác iPhone ngày càng được phát triển theo hướng vừa thu thập dữ liệu có chọn lọc, vừa duy trì khả năng điều khiển từ xa. Khi những bộ công cụ phức tạp được chia sẻ hoặc mua bán ngoài thị trường, nguy cơ không còn giới hạn ở một nhóm tấn công duy nhất.
Với người dùng iPhone, việc thiết bị thuộc hệ sinh thái có cơ chế bảo mật chặt chẽ không đồng nghĩa có thể bỏ qua cập nhật. Một khi chuỗi khai thác tận dụng được các lỗ hổng chưa được vá, dữ liệu cá nhân và tài sản số có thể cùng nằm trong vùng rủi ro.
Bên cạnh đó, người dùng cần thận trọng với các đường dẫn được quảng cáo qua mạng xã hội, tin nhắn hoặc website lạ, đặc biệt là những trang yêu cầu đăng nhập tài khoản Apple hay ví tiền điện tử. Nếu nghi ngờ thiết bị bị xâm nhập, nên sử dụng một thiết bị đáng tin cậy khác để kiểm tra tài khoản, thay đổi thông tin xác thực quan trọng và liên hệ bộ phận hỗ trợ chính thức khi cần.
P7 DarkSword cho thấy công cụ khai thác iPhone ngày càng được phát triển theo hướng vừa thu thập dữ liệu có chọn lọc, vừa duy trì khả năng điều khiển từ xa. Khi những bộ công cụ phức tạp được chia sẻ hoặc mua bán ngoài thị trường, nguy cơ không còn giới hạn ở một nhóm tấn công duy nhất.
Với người dùng iPhone, việc thiết bị thuộc hệ sinh thái có cơ chế bảo mật chặt chẽ không đồng nghĩa có thể bỏ qua cập nhật. Một khi chuỗi khai thác tận dụng được các lỗ hổng chưa được vá, dữ liệu cá nhân và tài sản số có thể cùng nằm trong vùng rủi ro.
Sửa lần cuối:
