移动安全公司 iVerify 于 10 月 8 日发布威胁研究报告，披露了 iOS 漏洞利用工具包 DarkSword 的一个此前未被公开的变种，代号 P7 DarkSword。相比已知版本，这一变种缩小了设备内的痕迹，新增了设备端钥匙串与加密货币钱包窃取能力，并引入了与攻击者基础设施的双向命令控制（C2）通信。
名字里的"P7"从哪来
"P7"这一命名来自攻击者对原始 DarkSword 代码所做的修改——他们在变量前统一使用了 p7_ 前缀。iVerify 介绍，与它平常观察到的变体相比，P7 减少了设备内的足迹，把过去"先复制钥匙串数据库再外传"的做法，改为在手机本地就把钥匙串数据提取成 JSON 再外传，同时新增了加密钱包窃取与双向 C2 通信。
DarkSword 是什么
DarkSword 最早在 2026 年 3 月由 Google 威胁情报团队（GTIG）、iVerify 与 Lookout 共同公开，可攻击运行 iOS 18.4 至 18.7 的 iPhone，早在 2025 年 11 月就已在野外被检测到。它会链式利用多个 iOS 漏洞，逃逸浏览器沙箱、提权到内核，再把主载荷注入负责应用启动与主屏幕的 SpringBoard 进程。报告认为，这条利用链本是商业产品，几经流转流入二手市场，自 2025 年底起被以经济利益为动机的运营者及其他威胁组织获取使用。
该工具包已被用于针对沙特阿拉伯、土耳其、马来西亚和乌克兰的攻击，使用者包括通过仿冒 Snapchat 网站投放的土耳其商业监控厂商 PARS Defense，以及使用虚假邀请诱饵的俄罗斯关联组织 Star Blizzard（亦称 COLDRIVER）。2026 年 8 月，Censys 还披露过一个不明中文威胁行为者利用该工具包针对 iOS 设备的行动。
P7 的能力清单
植入 SpringBoard 后，P7 会每 15 秒轮询一次命令、发送"心跳"、上传已安装应用列表，并回传 iCloud 钥匙串以及 Apple Notes、Photos 和加密货币钱包等应用的数据。其可执行指令包括：
execute_command：执行ls、cat、ps、netstat、whoami等系统命令；download/file_upload：读取或递归扫描指定路径的文件并上传到 C2；photos/photo_scan：上传相册文件；memo_scan：上传 Apple Notes 数据库；disk_scan、apps、ios_app_data：扫描文件系统、枚举应用容器与提取指定应用数据；wallet_scan/wallet_extract：扫描钱包类应用，并提取 imToken 钱包相关数据；exec：在植入体运行时内直接执行任意 JavaScript；sleep/exit：调整心跳间隔或终止植入。
链上的两枚老漏洞
对生产服务器利用清单的分析显示，DarkSword 用到了两枚此前未被记录在案的 CVE：CVE-2025-24201（WebKit 引擎越界写漏洞，可逃逸 Web 内容沙箱，已在 iOS/iPadOS 18.3.2 修复）与 CVE-2025-31200（Core Audio 框架内存破坏漏洞，处理恶意构造媒体文件音频流时可执行代码，已在 iOS/iPadOS 18.4.1 修复）。iVerify 还提到，上个月曾观察到多次"可能由大语言模型辅助"的尝试，试图把该框架更新到支持 iOS 26.x。
暴露的基础设施
Censys 在 5 台主机上发现了与 DarkSword、Coruna 相关的开放目录，其中 43.134.165.205 提供打包了 DarkSword 与 Coruna 的 DS-Fusion，156.239.230[.]120 则几乎暴露了整个 C2 平台。分析认为，其中一个开放目录集群与某中文威胁行为者有关，运营着一个"利用即服务"平台，管理面板采用代理/分销模式；一份生产服务器副本中恢复出 11 个受害者恢复短语、179 个设备窃取目录和一份 75 个账号的控制面名单。该运营者被指托管在腾讯与沈阳，并通过一张唯一的自签名 CA 证书相互关联。
The operator behind it sits on Tencent and Shenyang hosting, tied to the operator through a unique self-signed certificate authority.——Censys 研究员 Aidan Holland
影响与建议
P7 DarkSword 的出现说明，iOS 漏洞利用工具包在被公开后迅速"泄漏—迭代—武器化"，并被以窃取加密资产为目的的组织规模化运营。对普通用户而言，及时更新到最新 iOS 版本仍是最有效的防线；而 CVE-2025-24201、CVE-2025-31200 均涉及较旧的 iOS 版本，长期不升级的设备正是这类工具包的主要目标。
来源：iVerify 威胁情报报告（2026-10-08，一手）；The Hacker News 2026-10-09 报道；Censys 相关分析。