P7 DarkSword : le kit iOS vole le trousseau et les wallets crypto

La société de sécurité mobile iVerify a décrit dans un rapport publié le 8 octobre 2026 une nouvelle variante du kit d’exploitation iOS DarkSword, baptisée P7 DarkSword, capable de voler le trousseau d’accès et les données de portefeuilles de cryptomonnaies et d’exécuter des commandes à distance sur un iPhone infecté.

The Hacker News a repris l’information le 11 octobre 2026. DarkSword est une chaîne d’exploitation de failles iOS, détectée dans la nature depuis novembre 2025, dont le code a fuité peu après sa divulgation publique en mars 2026. La variante P7 en est une évolution plus discrète.

Qu’est-ce que DarkSword, et qui l’utilise ?

DarkSword enchaîne plusieurs vulnérabilités pour sortir du bac à sable du navigateur, obtenir les privilèges du noyau et injecter son implant dans SpringBoard, le processus iOS qui gère l’écran d’accueil. Il visait les iPhone sous iOS 18.4 à 18.7, selon les analyses publiées en mars 2026 par Google Threat Intelligence Group, iVerify et Lookout. Les chercheurs jugent que la chaîne est un produit commercial tombé sur un marché de seconde main.

Parmi les usages documentés figurent des attaques en Arabie saoudite, en Turquie, en Malaisie et en Ukraine, dont une par un éditeur turc de logiciels de surveillance, PARS Defense, et une par Star Blizzard, acteur lié à la Russie. En août 2026, la société Censys a décrit une campagne d’un acteur sinophone avec une fausse page de connexion Apple ID.

Qu’apporte la variante P7 ?

• Empreinte réduite : suppression des journaux de débogage et usage du stockage local du navigateur pour éviter une nouvelle exploitation.

• Vol de trousseau et de portefeuilles : extraction du trousseau iCloud, des notes, des photos et de données de portefeuilles crypto comme imToken.

• Contrôle bidirectionnel : l’implant interroge son serveur toutes les 15 secondes et peut exécuter des commandes, lister des fichiers, en télécharger ou lancer du JavaScript.

iVerify indique par ailleurs avoir vu, le mois dernier, plusieurs tentatives infructueuses, probablement assistées par des modèles de langage, d’adapter le kit à iOS 26.x. L’entreprise qualifie de nombreuses variantes diffusées sur GitHub de non fonctionnelles. Elle mentionne aussi des cas rares où DarkSword et l’outil Coruna sont combinés, sous le nom de DarkCoruna.

Comment le kit a-t-il été diffusé ?

Le chercheur Scott Helme, de Report URI, a observé la livraison de P7 via un domaine ayant appartenu à une start-up tchèque d’analyse e-commerce disparue. Des inconnus ont ré-enregistré ce domaine le 15 septembre 2026 après son expiration. Les boutiques en ligne qui contenaient encore sa balise de suivi chargeaient alors du JavaScript malveillant, qui redirige les visiteurs vers des régies publicitaires et, dans un cas, vers une chaîne d’exploitation iOS complète.

Que faire sur un iPhone ?

Le point de vigilance est le niveau d’iOS : les versions décrites comme ciblées vont de 18.4 à 18.7, et les essais sur iOS 26.x rapportés par iVerify n’avaient pas abouti. Installer les dernières mises à jour reste la première protection ; sur la mécanique des correctifs, voir notre article sur la faille CoreGraphics corrigée par Apple. Les sources lues ne mentionnent aucune mesure spécifique contre P7 en dehors des correctifs.

Source

• The Hacker News, P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands