DarkSword エクスプロイトコードが GitHub で公開され、Apple の古い iOS に影響を与える

DarkSword エクスプロイトの新しいバージョンが GitHub で公開され、ホスティングの基本的な知識がある人なら誰でもコードにアクセスできるようになりました。セキュリティ研究者らは、HTML および JavaScript ファイルによって、古いバージョンの iOS および iPadOS を実行している iPhone および iPad に対する素早い攻撃が可能になると警告しています。一般に公開すると、Apple の最新の修正プログラムをまだ受け取っていないデバイスのデータ盗難や完全な侵害のリスクが高まります。専門家らは、このエクスプロイトは Apple システムに関する高度な専門知識を必要とせずにすぐに機能すると指摘しています。

Google の脅威インテリジェンス グループは、iVerify および Lookout とともに、先週初めて DarkSword エクスプロイト チェーンの詳細を明らかにしました。このツールは複数の脆弱性を組み合わせて、バージョン 18.4 から 18.7 までの iOS を実行しているデバイスを侵害します。この攻撃は WebKit やその他のコンポーネントの欠陥を悪用し、昇格した特権でコードを実行したり、機密情報を抽出したりすることを可能にします。

• 流出したファイルは、研究者が以前に分析したものと同様のインフラストラクチャを共有しています。
• どのユーザーもコンテンツをコピーして、数分以内にサーバー上でホストできます。
• このエクスプロイトは主に、緊急修正用に更新されていないデバイスをターゲットとしています。
• Apple は、DarkSword チェーンが悪用した欠陥を軽減するパッチをすでにリリースしています。
• 最終的なペイロードには、GHOSTBLADE、GHOSTKNIFE、GHOSTSABER などのマルウェア ファミリが含まれます。

漏洩の技術的な詳細

漏洩には、悪意のある攻撃者が簡単に再利用できる単純なファイルが含まれています。 iVerify の共同創設者である Matthias Frielingsdorf 氏は、コードは適応して実装するのが簡単であるため、状況は深刻であると分類しました。同氏は、このエクスプロイトは動作するために iOS に関する深い知識を必要としないため、一般の犯罪者が利用する可能性が広がると指摘しました。 HTML および JavaScript ファイルはシンプルであるため、限られたリソースを持つ攻撃者でも、急遽攻撃を再現できます。

GitHub での公開は、Coruna と DarkSword の脆弱性が最初に公開された後に行われました。どちらのチェーンも、Apple が iOS 16.7.15、iOS 15.8.7、および同等の iPadOS などのアップデートで利用可能にした修正に依存しています。新しいバージョンのシステムと互換性のないデバイスには、引き続きこれらのセキュリティ パッチが適用されます。

古いデバイスのユーザーへの影響

世界中で使用されている iPhone や iPad の多くは、ハードウェアの制限により、依然として古いバージョンで動作しています。この漏洩により、侵害された Web サイトを悪用し、ページにアクセスする以外のユーザーの操作なしでエクスプロイトを配信する大規模なキャンペーンが行われる可能性が高まります。最終的なペイロードは、認証情報、フォレンジック データ、および仮想通貨ウォレットを含むアプリケーション情報を盗む可能性があります。 Appleは声明を発表し、即時アップデートの必要性を強調した。

メーカーは漏洩を認識していたことを認め、欠陥をカバーするために緊急パッチが3月11日にリリースされたことを繰り返した。専門家はiPhone所有者にアップデート履歴を確認し、ソフトウェアの自動チェックをオンにすることを推奨しています。最新のパッチをインストールすると、iOS の最新メジャー バージョンをサポートしていないデバイスでも攻撃対象領域が大幅に減少します。

Apple と専門家からの推奨事項

同社は、ブロック モードが高度な侵入の試みに対する追加の保護層を提供することを強調しました。古いモデルのユーザーは、ソフトウェア設定をすぐに確認して、利用可能なセキュリティ バージョンをインストールする必要があります。研究者らは、ファイルが単純であるため、サードパーティによる適応が容易であると指摘しています。セキュリティ コミュニティは、今後数週間でインシデントが増加する可能性を注視しています。

DarkSword チェーンは 6 つの異なる脆弱性を利用して、カーネル レベルのコード実行を実現します。そのうち 3 件は Apple の修正前のゼロデイとして悪用されました。このキットを使用すると、迅速なデータ抽出とその後のデバイスのクリーニングに重点を置いたペイロードの展開が可能になります。この攻撃者に関連する以前のキャンペーンには、水飲み場 Web サイトを介した攻撃が含まれていました。

保護のための予防措置

ユーザーは、iOS または iPadOS の利用可能な最新バージョンへの更新を優先する必要があります。リスクの高いシナリオでは、ブロック モードを有効にすることをお勧めします。不審なリンクへのアクセスを回避し、ブラウザを最新の状態に保つことで、WebKit ベースのエクスプロイトに対する基本的な防御が強化されます。専門家は、オペレーティング システムの定期的なメンテナンスがこの種の脅威に対する主な障壁であることを強調しています。

Apple は古いハードウェアに対してもパッチ配布チャネルを維持しており、ユーザーの長期的なセキュリティへの取り組みを示しています。今回のエピソードは、Apple エコシステムにおけるこの現実を実際に思い出させるものとして機能します。 DarkSword は iOS バージョン 18.4 ～ 18.7 をサポートしており、2025 年 11 月以降、複数の攻撃者によるキャンペーンで観察されています。

コードの単純さによって増大するリスク

公開されたファイルには、欠陥の仕組みとエクスプロイトの実装を説明する要素が含まれています。この機能により、サードパーティによる適応がさらに容易になります。研究者らは、漏洩後、一般的な犯罪活動が拡散するリスクが大幅に高まったと警告している。分析されたバージョンと漏洩したバージョンの間で共有されているインフラストラクチャは、元の作成者による開発の継続性を示しています。

モジュール構造により、さまざまな攻撃者がスパイ活動から金銭的窃盗まで、特定の目的に合わせてキットを適応させることができます。この漏洩により、以前はより高度なグループに制限されていたツールへのアクセスが民主化されました。オペレーティング システムを最新の状態に保つと、既知のエクスプロイトから保護され、新たな攻撃の機会が減ります。