Gửi bình luận
Biến thể mã độc P7 DarkSword tấn công thiết bị iOS qua quảng cáo trực tuyến, có khả năng trích xuất dữ liệu Keychain, ví điện tử và nhận lệnh điều khiển từ xa.
Mã độc P7 DarkSword là biến thể gián điệp mới trên hệ điều hành iOS, được phát hiện sau khi thâm nhập vào thiết bị thông qua các mẩu quảng cáo trực tuyến độc hại. Báo cáo do công ty an ninh mạng iVerify công bố ngày 9/10 cho thấy biến thể này sở hữu khả năng ngụy trang tinh vi, khai thác sâu vào hệ thống tệp và trích xuất dữ liệu mật mà gần như không để lại bất kỳ dấu vết bất thường nào.
Sự việc được phát hiện trong quá trình iVerify điều tra một vụ xâm nhập bảo mật trên điện thoại iPhone của một nhân viên thuộc tổ chức tài chính vào tháng 8/2026. Phân tích kỹ thuật xác nhận P7 DarkSword là bước phát triển tiếp theo của chuỗi khai thác DarkSword từng được các chuyên gia an ninh cảnh báo trước đó.
Vào đầu năm, Google và iVerify từng ghi nhận hai bộ công cụ tấn công quy mô lớn nhắm vào các thiết bị Apple là Coruna và DarkSword. Cả hai bộ công cụ này đều tận dụng nhiều lỗ hổng bảo mật nhằm vào các phiên bản hệ điều hành chưa được cập nhật bản vá.
| Bộ công cụ tấn công | Phiên bản iOS bị ảnh hưởng | Đặc điểm hoạt động |
|---|---|---|
| Coruna | iOS 13 đến iOS 17.2.1 | Khai thác hàng loạt lỗ hổng trên các thiết bị đời cũ. |
| DarkSword (gốc) | iOS 18.4 đến iOS 18.6 | Tập trung vào dòng hệ điều hành iOS 18 tiền nhiệm. |
| P7 DarkSword | Mở rộng đến iOS 18.7 | Tối ưu khả năng ẩn mình, hỗ trợ trích xuất dữ liệu tài chính. |
Biến thể P7 không phải là một lỗ hổng bảo mật độc lập mà đóng vai trò payload độc hại được kích hoạt sau khi tin tặc khai thác thành công chuỗi DarkSword. Đáng chú ý, phạm vi hoạt động của P7 đã được mở rộng để chạy ổn định trên iOS 18.7, vượt qua giới hạn iOS 18.6 của biến thể trước đó mà iVerify từng theo dõi.
Theo đánh giá từ các chuyên gia bảo mật, phiên bản P7 sở hữu ba bước nhảy vọt quan trọng: khó bị phát hiện hơn, vận hành ổn định hơn và năng lực thu thập dữ liệu toàn diện hơn. Để vượt qua các giải pháp giám sát an ninh trên iOS, mã độc đã cắt giảm tối đa việc ghi nhật ký hoạt động (logging) và hạn chế can thiệp vào các tiến trình phần mềm đang chạy trên máy.
Đặc biệt, P7 DarkSword còn kiểm tra dữ liệu trình duyệt để nhận biết thiết bị đã bị chiếm quyền điều khiển hay chưa. Cơ chế này giúp mã độc tránh việc thực thi lại hành vi tấn công trên cùng một máy, từ đó triệt tiêu những dấu hiệu xung đột phần mềm hoặc hành vi bất thường có thể khiến nạn nhân nghi ngờ.
Mức độ nguy hiểm của biến thể P7 thể hiện rõ qua các phân vùng dữ liệu mà nó nhắm tới. Mã độc có khả năng trích xuất thông tin trực tiếp từ Keychain - phân vùng bảo mật cốt lõi lưu trữ mật khẩu và chứng chỉ xác thực của Apple. Bên cạnh đó, mã độc còn tích hợp mô-đun nhắm thẳng vào các ứng dụng ví tiền điện tử nhằm đánh cắp tài sản kỹ thuật số.
Ngoài vai trò gián điệp, P7 DarkSword thiết lập kênh liên lạc hai chiều với máy chủ chỉ huy và điều khiển (C2). Theo mặc định, mã độc duy trì kết nối tới máy chủ C2 sau mỗi chu kỳ 15 giây để nhận lệnh mới, đồng thời khoảng thời gian này có thể được kẻ tấn công điều chỉnh linh hoạt từ xa.
Việc biến thể P7 DarkSword cải tiến khả năng xóa dấu vết khiến các chỉ số nhận diện mã độc (IoC) trước đây gần như không còn hiệu quả. Do đó, phương thức phòng thủ chủ động và tin cậy nhất là cập nhật hệ điều hành lên các phiên bản đã được vá lỗi.
Apple đã phát hành các bản cập nhật bảo mật gồm iOS 15.8.7, iOS 16.7.15 và iOS 18.7.7 để bảo vệ người dùng trên những nền tảng cũ. Trong đó, bản cập nhật iOS 18.7.7 được cung cấp cho cả các dòng máy đủ điều kiện nâng cấp lên iOS 26 nhằm đảm bảo an toàn cho những người chưa chuyển sang hệ điều hành mới. Người dùng cũng được khuyến cáo không bấm vào các đường liên kết hoặc mẩu quảng cáo đáng ngờ trong quá trình duyệt web.