Una nueva variante de software espía dirigida contra dispositivos iOS es capaz de sustraer contraseñas almacenadas en el Llavero de iCloud, fotos de la galería y monederos de criptomonedas de forma invisible.
- Identifican la variante P7 DarkSword tras infectar el teléfono de un empleado del sector bancario.
- El ataque no requiere descargas: se ejecuta mediante fallos de día cero en Safari y WebKit.
- Filtra contraseñas del llavero del sistema, notas privadas y claves de aplicaciones de criptoactivos.
- Establece una conexión remota de control que solicita instrucciones cada quince segundos.
Infección silenciosa sin interacción del usuario
La supuesta invulnerabilidad de iOS vuelve a quedar en entredicho tras el hallazgo de una nueva y agresiva amenaza informática. Investigadores de la firma de seguridad iVerify han documentado la actividad de P7 DarkSword, una variante mejorada de un kit de explotación móvil que logra vulnerar las defensas del sistema de Apple para robar credenciales guardadas, fotografías, notas personales y llaves de billeteras de criptomonedas.
A diferencia del malware genérico que suele depender de errores del usuario al descargar aplicaciones dudosas, esta herramienta opera a través de vulnerabilidades encadenadas de día cero en WebKit y el navegador Safari. La infección puede concretarse con el simple hecho de cargar un enlace web malicioso en lo que se conoce como ataques de abrevadero, sin que la víctima interactúe con descargas sospechosas ni note anomalías visuales en pantalla.
Espionaje silencioso directo al llavero del sistema
El nombre de esta variante proviene del prefijo que los desarrolladores maliciosos utilizaron para modificar el código fuente original. Según el análisis forense, los atacantes pulieron el software para reducir su huella en el dispositivo: eliminaron registros de diagnóstico del sistema, redujeron la cantidad de inyecciones en procesos activos y comenzaron a utilizar el almacenamiento local del navegador para verificar si un teléfono ya había sido infectado, evitando fallos que pudieran alertar al usuario.
Una vez instalado, el implante tiene como objetivo prioritario el Llavero de iCloud y las aplicaciones financieras. El malware procesa directamente en el propio teléfono las contraseñas almacenadas para enviarlas cifradas al atacante, junto con capturas de fotos de la galería y notas confidenciales. Además, incluye rutinas específicas diseñadas para identificar y drenar carteras de criptoactivos, lo que confirma su paso de ser una herramienta de espionaje gubernamental a un arma del cibercrimen financiero.
Vigilancia bidireccional y evolución constante
Otro aspecto crítico de P7 DarkSword es la incorporación de un canal de control remoto bidireccional con sus servidores de mando, con los que se comunica en intervalos regulares de unos quince segundos para recibir nuevas instrucciones. Los análisis indican que los creadores de esta variante emplearon modelos de lenguaje e inteligencia artificial para adaptar rápidamente el código a las versiones más recientes del sistema operativo.
Para mitigar el riesgo, los expertos recomiendan mantener el sistema operativo rigurosamente actualizado con los parches más recientes de Apple, los cuales corrigen los fallos en WebKit explotados por estos kits. Para perfiles de alto riesgo, como directivos del sector financiero o periodistas, la activación del Modo de Aislamiento de iOS sigue siendo la barrera más efectiva contra ataques de explotación avanzada.
- Los parches de seguridad recientes de Apple cierran los agujeros de día cero en WebKit.
- El Modo de Aislamiento bloquea de raíz los scripts complejos que utiliza el exploit.
- El malware opera sin dejar rastros evidentes en el rendimiento ni registros del sistema.
- Armas de espionaje mercenario ahora están al alcance del crimen organizado financiero.
Nuestra opinión
El mito de que un iPhone no se infecta vuelve a derrumbarse cuando las armas de espionaje mercenario caen en manos de delincuentes comunes. El verdadero problema no es solo la sofisticación del exploit, sino que un usuario común que no actualiza su teléfono a tiempo queda expuesto a que le vacíen las contraseñas sin haber tocado un solo enlace sospechoso.
0 Comentarios