Hiểm họa từ mã độc P7 DarkSword: Nguy cơ rò rỉ dữ liệu Keychain và ví điện tử trên iPhone

Báo cáo ngày 9/10 từ công ty an ninh mạng iVerify đã công bố sự xuất hiện của P7 DarkSword, một biến thể mã độc gián điệp tinh vi mới nhắm trực diện vào nền tảng iOS. Phát hiện này bắt nguồn từ cuộc điều tra chuyên sâu vào tháng 8/2026 trên một chiếc iPhone thuộc sở hữu của nhân viên ngân hàng, làm dấy lên hồi chuông cảnh báo về an toàn thông tin đối với các dữ liệu tài chính quan trọng.

Quá trình tiến hóa từ Coruna đến biến thể P7 DarkSword

Các chiến dịch tấn công nhắm vào hệ điều hành của Apple đã liên tục nâng cấp chuỗi công cụ khai thác nhằm vượt qua các cơ chế phòng thủ ngày càng nghiêm ngặt. Trước khi P7 xuất hiện, các cuộc tấn công chủ yếu dựa vào hai công cụ tiền nhiệm để khai thác các lỗ hổng phần mềm:

• Coruna: Hoạt động chủ yếu trên các thiết bị cài đặt từ hệ điều hành iOS 13 đến iOS 17.2.1.
• DarkSword: Được thiết kế để tấn công các dòng thiết bị vận hành từ iOS 18.4 đến iOS 18.7.

Dù Apple đã nhanh chóng phát hành các bản vá bảo mật khẩn cấp bao gồm iOS 15.8.7, iOS 16.7.15 và iOS 18.7.7, mối đe dọa này vẫn ghi nhận mức độ lây lan đáng kể. Với sự hậu thuẫn từ các nhóm tin tặc chuyên nghiệp, chiến dịch gián điệp mạng đã vươn tới nhiều quốc gia như Thổ Nhĩ Kỳ, Malaysia, Saudi Arabia và Ukraine.

Công cụ khai thác	Phạm vi phiên bản iOS ảnh hưởng	Mục tiêu và đặc tính cốt lõi
Coruna	iOS 13 đến iOS 17.2.1	Khai thác lỗ hổng hệ thống cũ, đánh cắp dữ liệu nền tảng
DarkSword tiền nhiệm	iOS 18.4 đến iOS 18.7	Mở rộng tấn công sang các phiên bản hệ điều hành mới hơn
P7 DarkSword	Mở rộng đến iOS 18.7	Trích xuất trực tiếp Keychain, chiếm đoạt ví tiền điện tử, điều khiển C2

Kỹ thuật lẩn tránh và cơ chế đánh cắp dữ liệu mục tiêu

Khác biệt lớn nhất của P7 DarkSword so với các phiên bản trước nằm ở khả năng tàng hình kỹ thuật số. Mã độc chủ động giảm thiểu tối đa dấu vết để lại bằng cách hạn chế tạo nhật ký hệ thống (log), đồng thời né tránh can thiệp vào các tiến trình vận hành cốt lõi của iOS. Ngoài ra, mã độc còn phân tích dữ liệu trình duyệt để nhận diện mục tiêu, ngăn chặn việc thực thi tấn công lặp lại trên cùng một máy nhằm hạn chế nguy cơ bị phát hiện.

Thay vì sử dụng phương thức sao chép toàn bộ cơ sở dữ liệu vốn dễ kích hoạt cảnh báo an ninh, P7 DarkSword thực hiện trích xuất có chọn lọc. Mã độc nhắm thẳng vào Apple Keychain – khu vực lưu trữ toàn bộ mật khẩu và thông tin xác thực nhạy cảm nhất của người dùng. Song song với đó, mã độc kích hoạt tính năng quét và chiếm đoạt dữ liệu ví tiền điện tử cá nhân, trực tiếp gây ra thiệt hại tài chính nặng nề cho nạn nhân.

Kênh kiểm soát từ xa và phương thức phát tán diện rộng

Điểm nguy hiểm nhất trong kiến trúc kỹ thuật của P7 DarkSword là khả năng thiết lập đường truyền liên lạc hai chiều với máy chủ chỉ huy và điều khiển (C2). Theo thiết lập mặc định, cứ 15 giây một lần, mã độc sẽ gửi tín hiệu về C2 để nhận chỉ thị mới. Thông qua kết nối thời gian thực này, kẻ tấn công có thể thực hiện hàng loạt thao tác tùy ý từ xa:

• Thu thập danh sách ứng dụng đã cài đặt, quét cấu trúc hệ thống tệp và trích xuất dữ liệu bất kỳ.
• Tự động tải các hình ảnh riêng tư từ thư viện máy lên máy chủ của tin tặc.
• Xâm nhập sâu vào cơ sở dữ liệu Apple Notes cũng như phân vùng bộ nhớ cá nhân của từng ứng dụng.

Đáng chú ý, nhóm vận hành đã thay đổi chiến lược lây nhiễm từ nhắm mục tiêu cụ thể sang phát tán hàng loạt. Thay vì gửi mã độc tới từng cá nhân, kẻ tấn công triển khai qua các hình thức quảng cáo độc hại (malvertising) và chiến dịch "hố nước" (watering hole). Người dùng chỉ cần lướt web và vô tình truy cập vào các trang bị chèn mã độc là thiết bị đã đối mặt với nguy cơ bị xâm nhập hoàn toàn.