حمله DarkSword به کاربران آیفون؛ سایت‌های جعلی چگونه اطلاعات کیف پول را هدف می‌گیرند؟

بیش از ۱۵۰۰ سایت جعلی مرتبط با DarkSword شناسایی شده‌اند؛ با روش حمله به آیفون، خطر سرقت اطلاعات کیف پول رمزارزی و راهکارهای مقابله آشنا شوید.

نویسنده:

بهراد یوسفی

شرکت امنیت سایبری SlowMist از شناسایی بیش از ۱۵۰۰ وب‌سایت جعلی مرتبط با زنجیره حمله DarkSword خبر داده است؛ مجموعه‌ای از ابزارهای بهره‌برداری از آسیب‌پذیری‌های iOS که می‌تواند برای سرقت اطلاعات حساس، از جمله داده‌های کیف پول‌های رمزارزی، استفاده شود. این وب‌سایت‌ها با تقلید از فروشگاه‌های اینترنتی، صرافی‌ها، کیف پول‌های دیجیتال و سرویس‌های بازی، کاربران را هدف قرار می‌دهند. با وجود اصلاح آسیب‌پذیری‌های شناخته‌شده DarkSword در نسخه‌های جدیدتر سیستم‌عامل اپل، بررسی نسخه iOS و نصب به‌روزرسانی‌های امنیتی همچنان اهمیت دارد.

بیش از ۱۵۰۰ سایت جعلی مرتبط با DarkSword شناسایی شد

شرکت امنیت بلاک‌چین SlowMist در 2 ابان اعلام کرد که سامانه پایش تهدیدات این شرکت، MistEye، بیش از ۱۵۰۰ وب‌سایت جعلی مرتبط با DarkSword را شناسایی کرده است. طبق گزارش منتشرشده، این صفحات با تقلید از وب‌سایت‌های تجارت الکترونیک، صرافی‌های رمزارزی، کیف پول‌های دیجیتال و سرویس‌های بازی، کاربران را به بازدید از صفحات مخرب ترغیب می‌کنند.

اهمیت این گزارش تنها به تعداد دامنه‌های شناسایی‌شده محدود نمی‌شود؛ بلکه به ترکیب مهندسی اجتماعی با ابزارهای بهره‌برداری از آسیب‌پذیری‌های سیستم‌عامل موبایل مربوط است. در چنین سناریویی، وب‌سایت جعلی می‌تواند نقطه ورود کاربر به یک زنجیره حمله باشد؛ زنجیره‌ای که در صورت موفقیت، از محدودیت‌های امنیتی سیستم‌عامل عبور می‌کند و به داده‌های حساس دستگاه دسترسی پیدا می‌کند.

بااین‌حال، شناسایی ۱۵۰۰ وب‌سایت به معنی آلوده‌شدن ۱۵۰۰ دستگاه یا موفقیت قطعی حمله علیه همه بازدیدکنندگان نیست. همچنین نباید بدون بررسی فنی هر دامنه، فرض کرد که تمام این وب‌سایت‌ها مستقیماً کد بهره‌برداری DarkSword را اجرا می‌کنند.

DarkSword چیست و چگونه به آیفون نفوذ می‌کند؟

DarkSword نام زنجیره‌ای از ابزارهای بهره‌برداری از آسیب‌پذیری‌های iOS است که پژوهشگران Google Threat Intelligence Group، در همکاری با شرکت‌های امنیتی iVerify و Lookout، در مارس ۲۰۲۶ درباره آن گزارش دادند.

این زنجیره از چند آسیب‌پذیری برای پیش‌برد مراحل مختلف نفوذ استفاده می‌کند. در سناریوی مستندشده، کاربر با مرورگر Safari به صفحه‌ای مخرب هدایت می‌شود و کد موجود در صفحه تلاش می‌کند از نقص‌های نرم‌افزاری سیستم‌عامل سوءاستفاده کند.

در صورت موفقیت مراحل اولیه، مهاجم می‌تواند تلاش کند از محیط ایزوله مرورگر (Sandbox) خارج شود و سطح دسترسی خود را افزایش دهد. هدف نهایی چنین زنجیره‌ای، دسترسی به داده‌هایی است که سیستم‌عامل در شرایط عادی میان برنامه‌ها و فرایندهای مختلف محدود می‌کند.

بنابراین، خطر DarkSword صرفاً به فریب کاربر برای واردکردن رمز عبور در یک صفحه جعلی محدود نیست. در نسخه‌های آسیب‌پذیر، بهره‌برداری موفق از نقص‌های سیستم‌عامل می‌تواند دسترسی مهاجم را فراتر از اطلاعاتی ببرد که کاربر مستقیماً در صفحه وب وارد کرده است.

البته این به معنی آن نیست که هر بار بازکردن یک لینک مشکوک، دستگاه حتماً آلوده می‌شود. موفقیت حمله به نسخه سیستم‌عامل، آسیب‌پذیری‌های قابل بهره‌برداری و نحوه پیاده‌سازی زنجیره حمله بستگی دارد.

مهاجمان چه اطلاعاتی را هدف می‌گیرند؟

بر اساس گزارش‌های فنی درباره DarkSword، محموله‌های مخرب مرتبط با این زنجیره می‌توانند اطلاعات حساس ذخیره‌شده روی دستگاه را هدف قرار دهند. نوع داده‌های قابل دسترسی به نسخه ابزار و سطح دسترسی حاصل از حمله بستگی دارد، اما موارد زیر از مهم‌ترین اهداف گزارش‌شده هستند:

اطلاعات احراز هویت: داده‌های حساس ذخیره‌شده در Keychain، سازوکار نگهداری اطلاعات محرمانه در سیستم‌عامل اپل.
اطلاعات کیف پول رمزارزی: فایل‌ها و داده‌های مرتبط با کیف پول‌هایی که روی دستگاه نگهداری می‌شوند.
عبارت بازیابی و کلید خصوصی: در صورتی که این اطلاعات در بخش‌هایی از دستگاه ذخیره شده باشند که محموله مخرب بتواند به آن‌ها دسترسی پیدا کند.
یادداشت‌ها و فایل‌های شخصی: اطلاعات محرمانه‌ای که ممکن است کاربر برای نگهداری رمزها، عبارت‌های بازیابی یا جزئیات حساب‌های خود ذخیره کرده باشد.
داده‌های دیگر دستگاه: بسته به قابلیت محموله مخرب، برخی اطلاعات محلی و داده‌های برنامه‌ها نیز ممکن است در معرض دسترسی قرار گیرند.

سرقت عبارت بازیابی یا کلید خصوصی می‌تواند پیامد جدی‌تری از افشای رمز یک حساب داشته باشد؛ زیرا در کیف پول‌های خودامانی (Self-Custody)، کنترل دارایی‌ها به اطلاعاتی وابسته است که مالک کیف پول نگهداری می‌کند. اگر مهاجم این اطلاعات را به دست آورد، ممکن است بتواند بدون نیاز به دسترسی فیزیکی به گوشی، دارایی‌ها را منتقل کند.

وضعیت آسیب‌پذیری‌ها و به‌روزرسانی iOS

طبق گزارش Google Threat Intelligence Group، نسخه شناخته‌شده DarkSword از چند آسیب‌پذیری برای اجرای مراحل مختلف حمله استفاده می‌کرد و نسخه‌های iOS 18.4 تا 18.7 را هدف قرار می‌داد. اپل این آسیب‌پذیری‌ها را طی چند به‌روزرسانی اصلاح کرده است؛ از جمله اصلاحات منتشرشده برای شاخه iOS 18 و نسخه‌های جدیدتر سیستم‌عامل.

در گزارش جدید SlowMist، ادعاهایی درباره فعالیت زیرساخت‌های مرتبط با این حمله علیه نسخه‌های جدیدتر نیز مطرح شده است. بااین‌حال، دامنه دقیق سازگاری نسخه‌های جدیدتر با گونه‌های احتمالی این ابزار، به شواهد فنی مستقل نیاز دارد. نباید بدون تأیید معتبر نتیجه گرفت که تمام نسخه‌های جدید iOS همچنان در برابر همان زنجیره شناخته‌شده آسیب‌پذیر هستند.

برای کاربران، اقدام عملی روشن است: آخرین نسخه رسمی و سازگار iOS یا iPadOS را نصب کنند و وضعیت به‌روزرسانی امنیتی دستگاه را از مسیر رسمی اپل بررسی کنند. کاربرانی که دستگاه آن‌ها دیگر به‌روزرسانی امنیتی دریافت نمی‌کند، باید ریسک استفاده از آن برای نگهداری اطلاعات و دارایی‌های حساس را جدی‌تر بگیرند.

چگونه از اطلاعات آیفون و کیف پول رمزارزی محافظت کنیم؟

برای کاهش خطر حملات مبتنی بر وب و سوءاستفاده از آسیب‌پذیری‌های سیستم‌عامل، رعایت چند اقدام ضروری است:

۱. iOS را به‌روز کنید. از مسیر Settings > General > Software Update آخرین نسخه در دسترس برای دستگاه خود را بررسی و نصب کنید. اگر دستگاه امکان نصب نسخه جدید را ندارد، به‌روزرسانی‌های امنیتی موجود برای همان مدل را بررسی کنید.

۲. به لینک‌های ناشناس اعتماد نکنید. لینک‌های دریافتی از پیام‌رسان‌ها، شبکه‌های اجتماعی و تبلیغات را پیش از بازکردن بررسی کنید. ظاهر حرفه‌ای یک وب‌سایت یا استفاده از نام یک برند معتبر، اصالت آن را تضمین نمی‌کند.

۳. نشانی سرویس‌های مالی را مستقلاً وارد کنید. برای دسترسی به صرافی یا کیف پول، از نشانی رسمی و شناخته‌شده استفاده کنید و از ورود به سرویس‌های مالی از طریق لینک‌های ناشناس بپرهیزید.

۴. عبارت بازیابی را در یادداشت‌ها و تصاویر نگهداری نکنید. عبارت بازیابی، کلید خصوصی و اطلاعات حساس کیف پول را در Notes، تصاویر، پیام‌رسان‌ها یا فایل‌های بدون حفاظت مناسب ذخیره نکنید.

۵. در صورت احتمال افشای اطلاعات کیف پول، فقط به حذف برنامه مشکوک اکتفا نکنید. اگر احتمال می‌دهید کلید خصوصی یا عبارت بازیابی افشا شده باشد، از یک دستگاه مطمئن برای ایجاد کیف پول جدید و انتقال دارایی‌ها استفاده کنید. تغییر رمز عبور به‌تنهایی، کلید خصوصی افشاشده را بی‌اعتبار نمی‌کند.

۶. در صورت احتمال نفوذ، حساب‌های حساس را بررسی کنید. از یک دستگاه سالم، وضعیت حساب‌های مهم و تراکنش‌های کیف پول را بررسی کنید. در صورت مشاهده فعالیت مشکوک، دسترسی‌های حساب را ایمن کنید و برای محافظت از دارایی‌ها اقدام کنید.

جمع‌بندی

شناسایی بیش از ۱۵۰۰ وب‌سایت جعلی مرتبط با DarkSword نشان می‌دهد که زیرساخت‌های فریب آنلاین همچنان می‌توانند در کنار آسیب‌پذیری‌های فنی، کاربران دستگاه‌های موبایل را هدف قرار دهند. در صورت موفقیت زنجیره بهره‌برداری، خطر تنها به سرقت اطلاعات واردشده در یک صفحه محدود نیست و ممکن است داده‌های حساس ذخیره‌شده روی دستگاه نیز در معرض دسترسی قرار بگیرند.

با وجود اصلاح آسیب‌پذیری‌های شناخته‌شده DarkSword در نسخه‌های جدیدتر، کاربران باید سیستم‌عامل خود را به‌روز نگه دارند، از بازکردن لینک‌های مشکوک خودداری کنند و عبارت بازیابی و کلید خصوصی کیف پول را در بخش‌های ناامن دستگاه ذخیره نکنند.