Investigadores da Google identificaram uma cadeia iOS , denominada DarkSword, que tem sido utilizada desde o final do ano passado por vários agentes para infetar iPhones com malware em ataques direcionados.
O DarkSword combina seis vulnerabilidades no iOS no Safari para instalar malware no dispositivo. Isto demonstra, mais uma vez, como é importante manter-se a par das atualizações.
A vulnerabilidade afeta iPhones com iOS entre a 18.4 e a 18.7, e basta visitar um site malicioso ou comprometido com um dispositivo vulnerável para ficar infetado (um ataque «drive-by»).
Atualização de 2 de abril de 2026
A Apple estendeu as correções «DarkSword» ao iOS .7.7 em 1 de abril de 2026.
Os investigadores descobriram que vários grupos estão a utilizar esta ferramenta para atacar os seus alvos preferidos. O DarkSword tem sido utilizado tanto por fornecedores comerciais de spyware como por agentes apoiados pelo Estado, tendo sido observadas campanhas na Arábia Saudita, Turquia, Malásia e Ucrânia.
Na Arábia Saudita, os atacantes utilizaram uma versão falsa do Snapchat. Na Ucrânia, os atacantes comprometeram pelo menos dois sites ucranianos, incluindo um site governamental.
Após uma exploração bem-sucedida, o malware é executado no dispositivo. O tipo de malware depende do atacante. Na campanha ucraniana, esse malware é conhecido como Ghostblade, um exemplo de carga útil distribuída através da cadeia de explorações DarkSword.
O Ghostblade é um programa de roubo de dados baseado em JavaScript que extrai identificadores únicos de dispositivos, mensagens SMS e iMessage, histórico de chamadas, contactos, configurações e senhas de Wi-Fi, cookies e histórico de navegação do Safari, dados de localização, notas, entradas do calendário, dados de saúde, fotografias, ficheiros do iCloud Drive, informações do cartão SIM, e-mails, uma lista de aplicações instaladas, senhas guardadas e o histórico de mensagens do Telegram e do WhatsApp.
Além disso, o Ghostblade destaca-se por visar também dados relacionados com criptomoedas, procurando ativamente aplicações das principais bolsas (Coinbase, Binance, Kraken, Kucoin, OKX, Mexc) e aplicações de carteiras (Ledger, Trezor, Metamask, Exodus, Uniswap, Phantom, Gnosis Safe). Os investigadores observam que o Ghostblade não foi concebido para vigilância a longo prazo: assim que recolhe os dados, elimina os seus ficheiros temporários e autodesativa-se.
Os riscos
Os dispositivos vulneráveis podem ser infetados apenas por visitarem um único site malicioso ou comprometido. E as consequências podem ser graves. O DarkSword transforma uma única visita a um site numa infeção total do dispositivo, seguida do Ghostblade, que extrai o máximo de dados possível de uma só vez.
- Roubo de dados: O Ghostblade e as cargas úteis associadas podem capturar comunicações (SMS, iMessage, Telegram, WhatsApp, e-mail), fotografias, dados de saúde, histórico de localização, credenciais de Wi-Fi, itens do Keychain e muito mais, tudo de uma só vez.
- Roubo de criptomoedas e criação de perfis: O malware identifica aplicações específicas de bolsas e carteiras, o que permite tanto o roubo direto como que os criminosos utilizem as informações roubadas para criar um perfil detalhado de alvos financeiramente interessantes.
- Evasão forense: Como o Ghostblade apaga os seus próprios vestígios depois de roubar toda essa informação, pode demorar muito tempo até que as vítimas percebam que algo está errado. Muitas vítimas podem nunca vir a saber que foram comprometidas.
Uma vez que o mesmo kit de exploração está a ser reutilizado por empresas de vigilância comercial e por atores ligados ao Estado, o número de campanhas e de vítimas irá aumentar com o tempo.
As soluções
Atualize para a versão mais recente iOS para o seu dispositivo. O DarkSword pode afetar iOS 18.4 a 18.7, e as versões mais recentes da Apple incluem correções para a CVE-2026-20700 e vulnerabilidades relacionadas.
Se tiver motivos para acreditar que é um alvo potencial de ataques desta natureza (jornalistas, ativistas ou pessoas com acesso a dados confidenciais), é aconselhável ativaro Modo de Bloqueio:
- Abra a aplicação «Definições ».
- Toque em Privacy Segurança».
- Desça a página, toque em «Modo de bloqueio» e, em seguida, toque em «Ativar o modo de bloqueio».
- Leia as informações apresentadas e toque em «Ativar o modo de bloqueio».
- Toque em «Ligar e reiniciar».
- Introduza o código de acesso do seu dispositivo quando lhe for solicitado.
Informe-se sobre as consequências de ativar o Modo de Bloqueio. Este modo torna o seu dispositivo muito menos intuitivo, mas tem-se revelado eficaz contra ataques altamente direcionados.
Aqui ficam algumas dicas gerais:
- Utilize uma proteção antimalware atualizada e em tempo real no seu dispositivo para bloquear sites maliciosos sempre que possível.
- Evite clicar em links enviados em mensagens não solicitadas, especialmente no que diz respeito a serviços como o Snapchat, plataformas de câmbio de criptomoedas, serviços bancários ou e-mail.
- Utilize bloqueadores de conteúdo (por exemplo Malwarebytes Browser Guard) no Safari para reduzir a exposição a conteúdos maliciosos (embora não sejam uma solução milagrosa para vulnerabilidades de dia zero).
- Transfira os ativos criptográficos de elevado valor para carteiras de hardware ou dispositivos dedicados e utilize as carteiras móveis apenas para montantes mais modestos.
- Utilize um gestor de palavras-passe comautenticação forte, ative configurações de segurança adicionais, como o Face ID/Touch ID, e evite o preenchimento automático de credenciais de alto risco.
- Ativea autenticação multifatorial (chaves de segurança FIDO2 ou autenticação de dois fatores através de uma aplicação) nas plataformas de câmbio e nas contas financeiras, para que o roubo de palavras-passe, por si só, não seja suficiente para saquear as suas contas.
- Revise regularmente as permissões das aplicações e revogue o acesso a dados sensíveis (localização, fotografias, contactos, microfone, câmara, saúde) sempre que não for necessário.
Os burlões sabem mais sobre si do que pensa.
Mobile Security Malwarebytes Mobile Security contra phishing, mensagens fraudulentas, sites maliciosos e muito mais. Com o Scam Guard integrado, alimentado por IA e em tempo real.
