كشفت شركة iVerify المتخصصة في الأمن السيبراني عن تفاصيل نسخة جديدة لم تُرصد من قبل من مجموعة أدوات استغلال ثغرات آيفون المعروفة باسم DarkSword، والتي أُطلق عليها اسم P7 DarkSword. وتأتي هذه النسخة المطورة بخصائص أكثر خطورة، إذ تقلص بصمتها على الجهاز المستهدف وتضيف قدرات جديدة لسرقة بيانات سلسلة المفاتيح ومحافظ العملات الرقمية، فضلاً عن تمكين اتصال ثنائي الاتجاه مع البنية التحتية للمهاجمين.
وأوضحت iVerify في تقريرها الصادر يوم الخميس أن اسم P7 يشير إلى استخدام الجهة المهاجمة للبادئة p7_ عند تعديل الشيفرة الأصلية لـ DarkSword، وهو ما يميز هذه النسخة عن النسخ المعتادة التي تُرصد في البرية. وتُعد هذه التطورات مؤشراً على استمرار تطوير أدوات الاستغلال التجارية التي باتت تنتقل بين أيدي فاعلين مختلفين بدوافع مالية وجيوسياسية.
من DarkSword إلى P7 تطور سريع لأدوات الاستغلال
كانت مجموعة DarkSword قد وثقت علناً لأول مرة في مارس الماضي من قبل مجموعة Google Threat Intelligence Group وشركتي iVerify وLookout، حيث أظهرت قدرتها على استهداف أجهزة آيفون التي تعمل بإصدارات iOS من 18.4 إلى 18.7. ورُصدت الأداة فعلياً في البرية في نوفمبر 2025، ما يعني أن الفترة بين اكتشافها وتطويرها إلى نسخة P7 لم تتجاوز أشهراً قليلة.
صُممت هذه المجموعة لربط سلسلة من الثغرات الأمنية في نظام iOS بهدف الهروب من بيئة المتصفح المعزولة، ثم رفع الصلاحيات إلى مستوى النواة، وأخيراً حقن الحمولة الرئيسية في عملية SpringBoard المسؤولة عن إدارة تشغيل التطبيقات والشاشة الرئيسية. وتُقيم سلسلة الاستغلال هذه على أنها منتج تجاري وصل بطريقة ما إلى سوق البيع الثانوي، حيث حصل عليه مهاجمون بدوافع مالية وفاعلون آخرون منذ أواخر عام 2025.
استُخدمت مجموعة الاستغلال في هجمات استهدفت المملكة العربية السعودية وتركيا وماليزيا وأوكرانيا من قبل عدة جهات تهديد، من بينها شركة مراقبة تجارية تركية تُدعى PARS Defense استخدمت موقعاً مزيّفاً يحمل طابع سناب شات، وفاعل تهديد موالٍ لروسيا يُعرف باسم Star Blizzard والمعروف أيضاً بـ COLDRIVER، الذي استخدم دعوات مزيفة كطُعم للضحايا.
وفي أغسطس 2026، كشفت منصة إدارة سطح الهجوم Censys عن حملة شنها فاعل تهديد مجهول يتحدث الصينية، استهدفت أجهزة آيفون باستخدام مجموعة الاستغلال نفسها، إضافة إلى تقديم صفحة تسجيل دخول وهمية لمعرّف Apple ID. ومع تسرب الأداة بعد الكشف العلني عنها، رصدت iVerify محاولات متعددة فاشلة، يُرجح أنها مدعومة بنماذج الذكاء الاصطناعي اللغوية الكبيرة، لتحديث الإطار لدعم إصدارات iOS 26.x، مع تركيز هذه النسخ على الاستقرار والتخفي وجودة البيانات المسروقة.
قدرات تجسسية متقدمة وسرقة محافظ رقمية
تمثل نسخة P7 DarkSword تطوراً ملحوظاً في عدة جوانب، إذ تخلصت من تسجيل التصحيح عبر طلبات HTTP وسجل النظام، واستخدمت التخزين المحلي في المتصفح لمنع إعادة الاستغلال. وخلافاً للنسخ السابقة التي كانت تنسخ قاعدة بيانات سلسلة المفاتيح وتُرسلها لمعالجتها في بنية المهاجم، تستخرج النسخة الجديدة بيانات سلسلة المفاتيح إلى صيغة JSON على الهاتف نفسه قبل إرسالها.
وتُحقن البرمجية الخبيثة في عملية SpringBoard التي تدير كل الاتصالات مع البنية التحتية للمهاجم. وتستطيع النسخة الجديدة الاستعلام عن الأوامر كل 15 ثانية، وإرسال رسالة نبض، وقائمة بالتطبيقات المثبتة، وبيانات iCloud Keychain، وبيانات من تطبيقات مثل Apple Notes والصور ومحافظ العملات الرقمية.
يتضمن الرد على استطلاع المهام الدوري أوامر تُنفذ على هاتف الضحية، من بينها تنفيذ أوامر نظام التشغيل مثل ls وdir وcat وmkdir وrm وecho وps وmemdump وipconfig وnetstat وwhoami، وسرد محتويات المجلدات، وتنزيل الملفات من الجهاز ورفعها إلى خادم التحكم، ورفع الصور من مسار الكاميرا، وحصر حاويات التطبيقات واستخراج معرّفات الحزم، وتنفيذ جافاسكربت عشوائي داخل بيئة البرمجية، ورفع الملفات بشكل تعاودي من مسارات محددة، وإرسال بيانات وصفية عن الجهاز، ومسح نظام الملفات بشكل تعاودي من الجذر وتسجيل البيانات الوصفية للملفات والمجلدات والروابط الرمزية ورفعها كتقرير، والبحث عن صناديق تطبيقات محددة ورفع ملفاتها، ومسح محافظ العملات المثبتة، واستخراج بيانات محفظة imToken، ورفع قواعد بيانات Apple Notes، ورفع الصور من تطبيق الصور، وتعديل فترة الاستطلاع، وإيقاف الحلقة الخبيثة.
واللافت أن سلسلة استغلال P7 DarkSword نفسها رُصدت تُوزع عبر نطاق مرتبط بشركة تشيكية ناشئة متوقفة الآن تعمل في تحليلات التجارة الإلكترونية. ووفقاً لـ Report URI، أعاد فاعلون مجهولون تسجيل النطاق ecomtrack[.]io في 15 سبتمبر 2026 بعد انتهاء صلاحيته، وذلك لحقن مواقع لا تزال تتضمن وسوم تتبع تشير إلى المنتج التحليلي بشيفرة جافاسكربت خبيثة تنشر البرمجية الضارة.
استغلال نطاقات مهجورة لتوزيع البرمجيات الخبيثة
أوضح الباحث الأمني سكوت هيلم أن الوسم لا يزال موجوداً على المتاجر الإلكترونية، وهو ما يجعله الآن يختطف الزوار ويبيعهم لشبكات إعلانية، وفي إحدى الحالات يوزع سلسلة استغلال كاملة لنظام iOS مع برمجية تجسس. وتتضمن الشيفرة الجديدة إجراءات تخفي متعددة لاكتشاف برامج الزحف والمتصفحات بلا واجهة والروبوتات، باستخدام تكتيكات تمويه لتقديم محتوى فارغ لها وإخفاء آثارها. كما تجمع معلومات عن الجهاز والمتصفح وترسلها إلى خادم خارجي، قبل إعادة توجيه الزائر إلى موقع احتيال أو كازينو إلكتروني.
ويؤدي أحد المسارات إلى منصة تداول عملات رقمية وهمية باسم chainmate[.]top تقدم بشكل خفي سلسلة استغلال DarkSword لنظام iOS. وصُممت البرمجية المزروعة عبر DarkSword لالتقاط الرسائل النصية وجهات الاتصال وسجل المكالمات والبريد الصوتي والصور وبيانات Apple Health وسجل المواقع والإشعارات وكلمات مرور شبكات Wi-Fi المحفوظة وملفات أكثر من 25 تطبيق محفظة.
وقال هيلم إن الشيفرة المستعادة مهيأة للاتصال بـ mertio.cc كل 30 ثانية والتعامل مع أوامر تشمل التنفيذ والتنزيل والصور والتجسس، مضيفاً أن النسخة المستعادة تبدو أحدث (الإصدار 24) وتُبلغ بنية تحتية مختلفة وتستهدف عدداً أكبر بكثير من محافظ العملات الرقمية.
بنية تحتية مفتوحة وثغرات غير موثقة سابقاً
يأتي هذا الكشف في وقت أعلنت فيه Censys عن تحديد مجلدات مفتوحة على خمسة مضيفين تحمل مكونات مرتبطة بـ DarkSword وCoruna، وهي مجموعة استغلال أخرى لنظام iOS كُشفت هذا العام بعد استخدامها في هجمات استهدفت أجهزة آيفون بإصدارات من 13.0 إلى 17.2.1. وتشغّل مراحل Coruna داخل جلسة متصفح الضحية بعد وصول مراحل استغلال DarkSword، وتسرق وحدات حصاد المحافظ عبارات الاسترداد والأرصدة وبيانات مخزن المفاتيح من تطبيقات iOS.
والمضيفون الخمسة هم 43.134.165[.]205 الذي يقدم حزمة DS-Fusion v1.0 التي تجمع DarkSword وCoruna في حزمة واحدة، و166.88.95[.]90 الذي يعمل كخادم تحكم وسجل جهازي iOS صينيين حقيقيين يستطلعان صفحة نبض كل ثلاث ثوان لعدة ساعات في 6 سبتمبر 2026، و23.148.212[.]237 الذي يعمل كمساحة تحليل تُظهر تطوير سلاسل استغلال لإصدار iOS 26 مثل CVE-2026-31001 غير المغطاة بـ DarkSword أو Coruna، و47.102.192[.]23 الذي يعمل كمضيف تجهيز لمجموعة Coruna، و156.239.230[.]120 الذي يكشف منصة التحكم بأكملها ورُصد يستطلع جهازاً في 15 سبتمبر 2026.
وكشف تحليل سجل الاستغلال في خادم الإنتاج أن مجموعة DarkSword تتضمن معرّفي ثغرات لم يُوثقا سابقاً، هما CVE-2025-24201 وهو ثغرة كتابة خارج الحدود في محرك WebKit قد تسمح للمهاجم بالخروج من صندوق رمل محتوى الويب وتم إصلاحها في iOS 18.3.2 وiPadOS 18.3.2، وCVE-2025-31200 وهو فساد ذاكرة في إطار Core Audio يسمح بتنفيذ الشيفرة عند معالجة تدفق صوتي في ملف وسائط مصمم بخبث وتم إصلاحه في iOS 18.4.1 وiPadOS 18.4.1.
ويُشتبه في أن مجموعة المجلدات المفتوحة ومنصة 156.239.230[.]120 يديرها فاعل تهديد يتحدث الصينية بهدف سرقة محافظ العملات الرقمية، إلا أن هويته الدقيقة لا تزال مجهولة. وقال الباحث في Censys أيدن هولاند إن المنصة تشغّل عملية استغلال كخدمة ناطقة بالصينية، وإن لوحة الإدارة تكشف نموذج وكيل وموزع، وإن نسخة من خادم الإنتاج استعادت 11 عبارة استرداد لضحايا و179 مجلد غنائم أجهزة وقائمة تحكم تضم 75 حساباً.
ورصدت Censys أيضاً مشغلاً آخر مقره الصين يشغّل المجموعة نفسها في البرية ضد خادم التحكم الخاص به على 66ds[.]lol، مع تضمين هدف جديد لمحفظة عملات رقمية هو BitKeep غير موجود في مجموعة المجلدات المفتوحة. وتؤكد هذه النتائج مرة أخرى انتشار المجموعة بين فاعلين بدوافع مالية، إذ يقع المشغل على استضافة Tencent وShenyang ويرتبط به عبر سلطة شهادات موقعة ذاتياً فريدة.
