iOS標的の攻撃キット「DarkSword」に新亜種「P7」判明、暗号資産の窃取や遠隔操作に対応

要点

• モバイルセキュリティ企業のiVerifyが、iOS向け攻撃ツール「DarkSword」の未確認亜種「P7 DarkSword」の詳細を公表した。

• 新亜種は端末内の痕跡を低減し、暗号資産ウォレットやiCloudキーチェーンのデータ窃取、双方向の遠隔操作機能を追加している。

• 元のDarkSwordはiOS 18.4〜18.7を標的とする商用製品の流出物とみられ、複数の脅威アクターによって悪用されてきた。

• 15秒間隔で司令サーバーと通信し、OSコマンドの実行やファイル収集、特定ウォレットからの情報抽出など多彩な遠隔指示に対応する。

• 調査企業Censysにより、旧iOS向け攻撃ツール「Coruna」と同一のエコシステムで併用されている実態も報告された。

• モバイルセキュリティ企業の米iVerifyは2026年10月8日、iPhoneを標的とするエクスプロイトキット「DarkSword」の新亜種「P7 DarkSword」に関する調査結果を公開した。エクスプロイトキットとは、ソフトウェアの脆弱性を悪用して端末へ侵入し、不正プログラムを送り込む攻撃ツール群を指す。

• 今回の新亜種は、端末内の活動痕跡を大幅に減らしつつ、暗号資産ウォレットや認証情報の窃取、司令サーバーとの双方向通信による遠隔操作に対応しているという。2026年3月に存在が公表されたDarkSwordが、流出後に独自の改良を重ねられ、より高度な情報窃取ツールへ進化している実態が明らかになった。

商用ツールの流出と世界各地での悪用経緯

DarkSwordは2025年11月に実際の攻撃で検知され、2026年3月にGoogle Threat Intelligence Group（GTIG）、iVerify、Lookoutによって共同報告された攻撃ツールだ。標的はiOS 18.4〜18.7を搭載したiPhoneである。複数の脆弱性を連鎖させてブラウザのサンドボックス（隔離環境）を回避し、最上位のカーネル権限へ昇格した上で、ホーム画面等を担う中核プロセス「SpringBoard」に不正プログラムを注入する。

商用の監視製品が二次流通市場に流出し、2025年後半以降に金銭目的の集団等へ渡ったと評価されている。これまでサウジアラビアやウクライナなどで悪用され、トルコの監視ベンダー「PARS Defense」による偽Snapchatサイトや、ロシア関連の「Star Blizzard（別名COLDRIVER）」による偽招待状、中国語話者グループによる偽Apple IDサインインページを通じた攻撃が確認されてきた。先月には、大規模言語モデル（LLM）の支援を受けたとみられるiOS 26.x対応の試行も観測されている。

ステルス性の強化と端末内でのデータ抽出

新亜種「P7 DarkSword」の名称は、コード改変時に変数名に用いられた接頭辞「p7_」に由来する。従来のDarkSwordと比較して端末内の活動痕跡（フットプリント）を大幅に低減させた点が大きな特徴だ。

具体的には、HTTPリクエストによるデバッグログ送信やシステムログ（syslog）出力を排除した。さらにブラウザのlocalStorageを利用し、同一端末への重複攻撃を防ぐ機能も備える。

キーチェーン（認証情報保管領域）の窃取手法も改良された。従来の亜種はデータベース全体をサーバーへ持ち出して解析していたが、P7では送信前に端末上で直接JSON形式へ展開・抽出する。不正プログラムはSpringBoardプロセスに注入されて常駐し、攻撃者インフラとの通信を一手に担う。通信は15秒間隔でC2（指令）サーバーへ問い合わせるポーリング形式で、生存確認（ハートビート）やアプリ一覧のほか、iCloudキーチェーン、Apple Notes（メモ）、Photos（写真）、暗号資産ウォレットのデータを送信する。

実装された多彩な遠隔操作コマンド

P7が15秒ごとの定期ポーリングへの応答として受け取り、端末上で実行する遠隔コマンド群も詳細に判明した。攻撃者は端末の探索から任意のコード実行、特定データの抜き出しまで柔軟に指示できる。

ファイルやシステムの操作では、ディレクトリ一覧を表示する「ls」、ファイルを読み取って送信する「download」、再帰的なファイル収集を行う「file_upload」、ルートから全体を走査してレポートを作成する「disk_scan」を備える。また「execute_command」により、ls、cat、mkdir、rm、ps、memdump、whoamiなどのOSコマンドを実行可能だ。

情報窃取面では、端末メタデータを送る「basic_info」、アプリ一覧と識別子を抽出する「apps」、指定アプリ領域からファイルを取得する「ios_app_data」を搭載。写真やメモを収集する「photos」（"/var/mobile/Media/DCIM"から取得）、「photo_scan」、「memo_scan」（Apple NotesのDB送信）に加え、ウォレットアプリを走査する「wallet_scan」、ウォレットアプリ「imToken」からデータを抜き出す「wallet_extract」が実装されている。さらに任意のJavaScriptを実行する「exec」や、通信間隔を変更する「sleep」、活動を停止させる「exit」も確認された。

旧iOS向けツール「Coruna」と連携するエコシステム

P7の公表と並行して、米CensysはDarkSwordおよび「Coruna」の関連コンポーネントを公開状態で保持する5台のホストを特定したと発表した。Corunaは、iOS 13.0〜17.2.1を対象として今年確認された別のエクスプロイトキットだ。

Censysの分析によると、CorunaはDarkSwordと同一のエコシステムが配布する連携用ペイロードキットだという。DarkSwordによる侵入成立後、被害者のブラウザセッション内でCorunaが動作し、ウォレット収集モジュールによってiOSアプリから暗号資産の復元フレーズや残高、キーストアデータを盗み出す。攻撃者はDarkSwordとCorunaを併用し、幅広いiOSバージョンを標的としながら暗号資産の窃取を進めている実態が示されている。