P7 DarkSword: Neue iPhone-Malware gefährdet weltweit 270 Millionen Geräte

Sicherheitsforscher des IT-Sicherheitsunternehmens iVerify haben eine neue Variante der Spionagesoftware DarkSword entdeckt. Die Schadsoftware, die unter der Bezeichnung P7 DarkSword geführt wird, zielt auf iPhones ab.

Entdeckt wurde das Schadprogramm bei der Analyse einer Infektion auf dem Smartphone eines Bankangestellten im August 2026. Wie das Unternehmen klarstellte, handelt es sich bei P7 DarkSword nicht um eine neuartige Schwachstelle im Betriebssystem iOS, sondern um eine technisch weiterentwickelte Schadsoftware, die nach einer erfolgreichen Infektion aktiv wird.

Der Name P7 leitet sich nach Angaben der Analysten direkt von dem im Programmcode verwendeten Variablenpräfix „p7_“ ab. Die Anpassungen im Code zeugen von erheblichem manuellem Entwicklungsaufwand und seien nicht durch künstliche Intelligenz generiert worden. Die neue Variante unterstützt nun auch iOS 18.7, während die zuvor von iVerify beobachtete Version auf iOS 18.6 beschränkt war. Andere von Google beobachtete Implementierungen von DarkSword unterstützten bereits zuvor iOS 18.7.

Ausgefeilte Tarnung und tiefe Eingriffe ins System

Die Entwickler der Schadsoftware haben laut iVerify gezielte Verbesserungen vorgenommen, um die Erkennung zu erschweren und die Stabilität sowie den Datendiebstahl zu optimieren.

Dazu zählen eine verringerte Zahl an Gerätespuren, das Entfernen von Debug-Protokollen in HTTP-Anfragen und dem Systemprotokoll syslog sowie weniger Injektionen in laufende Prozesse. Um Mehrfachinfektionen desselben Geräts zu vermeiden, nutzt die Malware den lokalen Speicher des Browsers.

Im aktiven Zustand nistet sich P7 im SpringBoard-Prozess des iPhones ein. Standardmäßig sendet das Schadprogramm alle 15 Sekunden ein Signal an den Endpunkt /beacon, wobei dieses Intervall aus der Ferne angepasst werden kann.

Viele iPhone-Nutzer übersehen nach dem Einspielen von System-Aktualisierungen sicherheitsrelevante Einstellungen, was Spionagesoftware die Arbeit erleichtern kann. Dieser kostenlose Ratgeber zeigt Ihnen in einer einfachen Schritt-für-Schritt-Anleitung, wie Sie Updates sicher installieren und Ihre Privatsphäre wirksam schützen. iOS-Updates leicht gemacht – jetzt gratis Ratgeber sichern

Über eine bidirektionale Verbindung zum Befehlsserver können Angreifer weitreichende Aktionen ausführen: Neben dem Abrufen und Lesen von Dateien sowie dem Hochladen von Fotos können sie installierte Anwendungen auflisten, Datenbanken der Notizen-App auslesen, auf App-Container und Sandbox-Verzeichnisse zugreifen, das Dateisystem durchsuchen und JavaScript ausführen.

Zudem bereitet P7 sensible Schlüsselbunddaten direkt auf dem iPhone als JSON auf, um sie gezielt abzugreifen, anstatt komplette Datensätze zu übertragen. Für die Exfiltration kommen spezialisierte Endpunkte zum Einsatz, darunter /war für Keychain- und Wallet-Daten, /p für Fotos und /nb für Notizen.

Das Programm durchsucht Geräte auch gezielt nach Krypto-Wallets; über einen spezifischen Extraktionsbefehl lassen sich Daten der Anwendung imToken entwenden.

Verbreitung und betroffene Nutzerkreise

Die Verbreitung der Malware erfolgt laut iVerify über manipulierte Werbeanzeigen im Rahmen sogenannter Watering-Hole-Angriffe sowie über kompromittierte Websites. Die Opfer werden dabei nicht gezielt ausgewählt.

Wer sich gegen komplexe Bedrohungen auf dem Smartphone absichern möchte, sollte zunächst die technischen Grundlagen seines Geräts verstehen. Das kostenlose iPhone-Lexikon erklärt die 53 wichtigsten Fachbegriffe verständlich und hilft Einsteigern, Sicherheitsfunktionen sicher zu bedienen. Kostenloses iPhone-Lexikon jetzt herunterladen

Frühere Angriffsketten von DarkSword zielten auf die Versionen iOS 18.4 bis 18.7 ab, während eine frühere Kette namens Coruna Versionen von iOS 13 bis 17.2.1 betraf. iVerify schätzt die Zahl der weltweit potenziell gefährdeten Geräte auf rund 270 Millionen. Wie viele Geräte tatsächlich infiziert wurden und wer hinter den aktuellen Attacken steckt, ist bislang unklar.

Ermittlungen von Google Threat Intelligence ordnen frühere DarkSword-Angriffe den Gruppierungen UNC6748 in Saudi-Arabien, PARS Defense in der Türkei und Malaysia sowie UNC6353 in der Ukraine zu. Entsprechende Angriffsaktivitäten wurden in diesen Ländern verzeichnet. Nach Erkenntnissen von Google kommt DarkSword sowohl bei kommerziellen Überwachungsdienstleistern als auch bei mutmaßlich staatlichen Akteuren zum Einsatz.

Die von der Malware ausgenutzten Sicherheitslücken wurden von Apple bereits vor Monaten geschlossen, die letzte davon mit der Betriebssystemversion iOS 26.3. Für ältere Systeme stellte Apple Sicherheitsupdates wie iOS 15.8.7, 16.7.15 und 18.7.7 bereit. Als wirksamer Schutz wird die Installation von iOS 26.3.1 oder neuer über die Softwareupdate-Funktion in den Systemeinstellungen empfohlen.

de | wissenschaft | 70280647 |