Pesquisadores do Google identificaram uma cadeia iOS , chamada DarkSword, que vem sendo usada desde o final do ano passado por vários agentes para infectar iPhones com malware em ataques direcionados.
O DarkSword combina seis vulnerabilidades no iOS no Safari para instalar malware no dispositivo. Isso demonstra, mais uma vez, como é importante manter-se atualizado.
A vulnerabilidade afeta iPhones com iOS de 18.4 a 18.7, e basta acessar um site malicioso ou comprometido com um dispositivo vulnerável para ser infectado (um ataque drive-by).
Os pesquisadores descobriram que vários grupos estão utilizando a ferramenta para atacar seus alvos preferidos. O DarkSword tem sido utilizado tanto por fornecedores comerciais de spyware quanto por agentes apoiados por governos, com campanhas observadas na Arábia Saudita, Turquia, Malásia e Ucrânia.
Na Arábia Saudita, os invasores utilizaram um aplicativo falso semelhante ao Snapchat. Na Ucrânia, os invasores comprometeram pelo menos dois sites ucranianos, incluindo um site do governo.
Após a exploração bem-sucedida, o malware é executado no dispositivo. O tipo de malware depende do invasor. Na campanha ucraniana, esse malware é conhecido como Ghostblade, um exemplo de carga útil entregue por meio da cadeia de exploração DarkSword.
O Ghostblade é um programa de roubo de dados baseado em JavaScript que extrai identificadores exclusivos de dispositivos, mensagens SMS e iMessage, histórico de chamadas, contatos, configurações e senhas de Wi-Fi, cookies e histórico de navegação do Safari, dados de localização, notas, entradas da agenda, dados de saúde, fotos, arquivos do iCloud Drive, informações do cartão SIM, e-mails, uma lista de aplicativos instalados, senhas salvas e o histórico de mensagens do Telegram e do WhatsApp.
Além disso, o Ghostblade se destaca por também ter como alvo dados relacionados a criptomoedas, buscando ativamente aplicativos das principais corretoras (Coinbase, Binance, Kraken, Kucoin, OKX, Mexc) e aplicativos de carteiras (Ledger, Trezor, Metamask, Exodus, Uniswap, Phantom, Gnosis Safe). Os pesquisadores observam que o Ghostblade não foi desenvolvido para vigilância de longo prazo: assim que coleta os dados, ele exclui seus arquivos temporários e se autodesativa.
Os riscos
Dispositivos vulneráveis podem ser infectados simplesmente ao visitar um único site malicioso ou comprometido. E as consequências podem ser graves. O DarkSword transforma uma única visita a um site em um comprometimento total do dispositivo, seguido pelo Ghostblade, que extrai o máximo de dados possível de uma só vez.
- Roubo de dados: o Ghostblade e suas cargas úteis associadas podem capturar comunicações (SMS, iMessage, Telegram, WhatsApp, e-mail), fotos, dados de saúde, histórico de localização, credenciais de Wi-Fi, itens do Keychain e muito mais de uma só vez.
- Roubo de criptomoedas e criação de perfis: o malware identifica aplicativos específicos de exchanges e carteiras, o que permite tanto o roubo direto quanto o uso das informações roubadas pelos criminosos para criar um perfil detalhado de alvos financeiramente interessantes.
- Evasão forense: como o Ghostblade apaga seus próprios rastros após roubar todas essas informações, pode demorar muito tempo até que as vítimas percebam que algo está errado. Muitas vítimas podem nunca saber que foram comprometidas.
Como o mesmo kit de exploração está sendo reutilizado por empresas de vigilância comercial e atores ligados ao Estado, o número de campanhas e de vítimas aumentará com o tempo.
As soluções
Atualize para a versão mais recente iOS para o seu dispositivo. O DarkSword pode afetar iOS 18.4 a 18.7, e as versões recentes da Apple incluem correções para o CVE-2026-20700 e vulnerabilidades relacionadas.
Se você tem motivos para acreditar que é um alvo em potencial para ataques desse tipo (jornalistas, ativistas ou pessoas com acesso a dados confidenciais), é recomendável ativaro Modo de Bloqueio:
- Abra o aplicativo Configurações.
- Toque em Privacy segurança.
- Role a tela para baixo, toque em “Modo de bloqueio” e, em seguida, toque em “Ativar modo de bloqueio”.
- Leia as informações apresentadas e toque em “Ativar o modo de bloqueio”.
- Toque em “Ativar e reiniciar”.
- Digite a senha do seu dispositivo quando solicitado.
Informe-se sobre as consequências de ativar o Modo de Bloqueio. Ele torna o seu dispositivo muito menos intuitivo, mas tem se mostrado eficaz contra ataques altamente direcionados.
Aqui estão mais algumas dicas gerais:
- Utilize uma proteção antimalware atualizada e em tempo real no seu dispositivo para bloquear sites maliciosos sempre que possível.
- Evite clicar em links enviados em mensagens não solicitadas, especialmente quando se trata de serviços como o Snapchat, plataformas de criptomoedas, bancos ou e-mail.
- Use bloqueadores de conteúdo (por exemplo Malwarebytes Browser Guard) no Safari para reduzir a exposição a conteúdo malicioso (embora eles não sejam uma solução milagrosa para vulnerabilidades de dia zero).
- Transfira seus ativos criptográficos de alto valor para carteiras de hardware ou dispositivos dedicados e use carteiras móveis apenas para valores menores.
- Use um gerenciador de senhas comautenticação robusta, ative configurações de segurança adicionais, como Face ID/Touch ID, e evite o preenchimento automático de credenciais de alto risco.
- Ativea autenticação multifatorial (chaves de segurança FIDO2 ou autenticação de dois fatores por aplicativo) em corretoras e contas financeiras, para que o roubo de senhas por si só não seja suficiente para saquear suas contas.
- Revise regularmente as permissões dos aplicativos e revogue o acesso a dados confidenciais (localização, fotos, contatos, microfone, câmera, saúde) sempre que não for necessário.
Não nos limitamos a informar sobre segurança telefônica - nós a fornecemos
Os riscos de segurança cibernética nunca devem se espalhar além de uma manchete. Mantenha as ameaças longe de seus dispositivos móveis fazendo o download Malwarebytes para iOS e Malwarebytes para Android hoje mesmo.
