P7 DarkSword: Drei Banken warnen iPhone-Kunden vor Spyware-Angriffen

Mehrere große Kreditinstitute haben ihre Kunden mit Apple-Smartphones aufgefordert, das Betriebssystem iOS umgehend zu aktualisieren. Auslöser der Sicherheitswarnungen der Finanzinstitute Agribank, BIDV und VietinBank ist die Schadsoftware P7 DarkSword, die gezielt Schwachstellen auf iPhones ausnutzt und sensible Finanzdaten bedroht.

Gefahr für Passwörter und Bankkonten

Wie die vietnamesische BIDV mitteilte, kann DarkSword über manipulierte Internetseiten oder Werbeanzeigen Passwörter, persönliche Daten und Zugangsdaten entwenden. Dadurch seien auch Bankkonten der Kunden gefährdet. Das Institut VietinBank stufte P7 DarkSword als Exploit-Toolkit für Sicherheitslücken auf iPhones ein.

Die Agribank forderte ihre Kunden dazu auf, das Apple-Betriebssystem über die Geräteeinstellungen unter Allgemein und Softwareupdate auf die neueste Version mit dem aktuellen Sicherheitspatch zu bringen. Schadsoftware und Betrugsmethoden im Internet würden zunehmend raffinierter, weshalb veraltete Geräte zum Ziel von Angriffen auf Zugangsdaten von Banking-Apps werden könnten.

Zudem gab die Agribank grundlegende Sicherheitshinweise aus: Nutzer sollten keine verdächtigen Links aus SMS, E-Mails oder sozialen Netzwerken öffnen und keine Apps oder Dateien unbekannter Herkunft installieren. Kontodaten, Passwörter oder Einmalpasswörter dürften keinesfalls weitergegeben und Bankdaten nicht über unsichere Links oder Anwendungen eingegeben werden.

Nach der Vorgabe Quy?t ??nh 2345/Q?-NHNN ist bei Online-Überweisungen von mehr als 10 Mio. VND pro Transaktion oder einem täglichen Volumen von über 20 Mio. VND ohnehin eine biometrische Authentifizierung erforderlich.

Viele iPhone-Nutzer übersehen nach einem Software-Update wichtige Sicherheitseinstellungen, was den Schutz privater Daten gefährden kann. Dieser kostenlose Ratgeber zeigt Ihnen in einer einfachen Schritt-für-Schritt-Anleitung, wie Sie Ihr System sicher aktualisieren. iOS-Updates leicht gemacht – jetzt gratis Ratgeber sichern

Für den Fall eines Infektionsverdachts empfahl die BIDV betroffenen Anwendern, ein Backup zu erstellen, das Gerät auf die Werkseinstellungen zurückzusetzen und sämtliche Passwörter über ein sicheres Zweitgerät zu ändern.

Infektionen ohne Klick über manipulierte Webseiten

Erkenntnissen des Sicherheitsunternehmens iVerify zufolge wurde P7 DarkSword erstmals entdeckt, nachdem im August 2026 das iPhone eines Mitarbeiters einer Finanzorganisation infiziert worden war. Dies ging aus einem Bericht von iVerify vom 9. Oktober 2026 hervor.

P7 hinterlasse zwar weniger Spuren auf dem Gerät, nutze jedoch keine eigenständige neue Sicherheitslücke in iOS, sondern werde im Anschluss an einen erfolgreichen DarkSword-Angriff nachgeladen. Entsprechend gepatchte iPhones seien geschützt.

Weitere Details zur Verbreitung legten iVerify und Report URI in einer am 21. Oktober 2026 veröffentlichten Untersuchung dar. Demnach gelangt Spyware über Werbeanzeigen und legitime Websites auf anfällige Geräte, ohne dass Nutzer auf Links klicken, Dateien öffnen oder Apps manuell installieren müssen.

Wer sich vor komplexen Bedrohungen wie Spyware oder Datenklau schützen möchte, sollte die grundlegenden Sicherheitsmechanismen seines Geräts genau kennen. Erfahren Sie in diesem kostenlosen Experten-Report, welche Einstellungen Sie sofort überprüfen sollten, um Ihre Daten wirksam zu schützen. Apple-Experten-Ratgeber kostenlos herunterladen

Die unter dem Namen DeadTag bekannte Kampagne nutzte abgelaufene Internetadressen aus, die weiterhin mit älteren Werbe- und Analysetools verknüpft waren.

Betroffen von dieser Kampagne waren Websites mit einem Aufkommen von rund 135 Mio. Besuchen im Monat. Die Sicherheitsforscher identifizierten zwei Angriffswerkzeuge: Coruna zielte auf die älteren Betriebssystemversionen iOS 13 bis 17.2.1 ab, während DarkSword auf iOS 18.4 bis 18.7 ausgerichtet ist. Laut Google Threat Intelligence sind die neuesten iOS-Versionen gegen Coruna nicht mehr anfällig.

Eine Variante von DarkSword wurde den Analysen zufolge unter anderem über eine Werbeanzeige zu einer Fußball-Weltmeisterschaft auf der Plattform Instagram ohne Interaktionserfordernis verbreitet. Zudem stießen Forscher auf schädlichen Code in hunderten Webshops, die auf der Software PrestaShop basieren.

Finanzielles Motiv der Angreifer

Das Ziel der Angriffe lag laut der Analyse von iVerify und Report URI im Diebstahl sensibler Informationen. Dazu zählten im iPhone-Schlüsselbund gespeicherte Passwörter, Kontodaten, Kontakte, Textnachrichten, Standortdaten sowie Zugänge zu Krypto-Wallets, darunter Angebote von Anbietern wie Coinbase Wallet, Binance, Trust Wallet, OKX, Bitget und Exodus.

Die Urheber hinter der Kampagne DeadTag sind bislang unbekannt; die Sicherheitsforscher gehen jedoch von einem rein finanziellen Motiv aus. Als Schutzmaßnahmen raten Experten neben der umgehenden Aktualisierung des Betriebssystems für Nutzer mit besonders sensiblen Daten auch zur Aktivierung des sogenannten Blockierungsmodus.