移动安全公司 iVerify 在 10 月 8 日披露了 iOS 间谍软件变种 P7 DarkSword，它是今年早些时候公开的 DarkSword 攻击工具链的迭代版本。与多数疑似 AI 批量生成的变种不同，这一版是手写的 —— 设备痕迹更少，窃密范围扩到了钥匙串与加密钱包。10 月 25 日，越南农业与农村发展银行、BIDV、越南工商银行三家同日向客户发出升级 iOS 的告警，其中 VietinBank 直接点名 P7 DarkSword。
事件概述
命名来自攻击者改代码时用的 p7_ 变量前缀。DarkSword 是基于网页的 iOS 漏洞利用链：配套的 Coruna 覆盖 iOS 13.0 到 17.2.1，DarkSword 覆盖 18.4 到 18.7。
技术细节：常驻 SpringBoard 的双向后门
植入体注入 SpringBoard 进程，所有与 C2 的通信都从这里发出。核心是 POST /beacon，每 15 秒轮询一次任务，间隔可由服务端通过 sleep 指令随时调整。其余端点分工明确：/a 注册、/event 心跳、/result 原始文件外传、/u 已装应用清单、/nb 备忘录、/p 照片、/war 钥匙串与钱包。
指令体系既有通用 execute_command 分发器（支持 ls、cat、find、ps、memdump、netstat、hexdump 等类 shell 子命令），也有专用处理器：disk_scan 递归扫描文件系统并上传报告，ios_app_data 抓指定 bundle ID 的沙盒数据，memo_scan 定位 NoteStore.sqlite，photo_scan 查 Photos.sqlite 后上传，exec 直接执行任意 JavaScript。
三个改动值得注意：隐蔽性上移除 HTTP 请求与 syslog 里的调试日志、减少进程注入次数，旧变种的识别特征因此失效；稳定性上用浏览器 localStorage 做标记，防止设备被反复利用而暴露；窃密能力上把钥匙串先在设备端转成 JSON 再外传，旧版本是把整库搬走后再处理。
影响评估
攻击链由两个漏洞组成：CVE-2025-24201（WebKit 越界写，iOS 18.3.2 已修）与 CVE-2025-31200（Core Audio 内存破坏，iOS 18.4.1 已修）。关键判断是 —— P7 没有利用任何新的 iOS 漏洞，它只是 DarkSword 攻击成功之后植入的新版恶意程序。跑 iOS 18.7.7、26.4 或更新版本的设备不受影响。
风险集中在长期不升级的老设备，尤其是当主力机又装加密钱包的用户。wallet_extract 专门适配 imToken —— 变现路径已经从「卖数据」转向「直接拿资产」。
修复建议
用户侧：升级到设备支持的最新 iOS，这是唯一有效的动作。怀疑中招的话，先备份重要数据，再用「设置 → 通用 → 传输或还原 iPhone → 抹掉所有内容和设置」恢复出厂，然后立刻升级，并在另一台安全设备上修改银行、邮箱与钱包口令。
企业侧：MDM 拉高 iOS 最低版本策略，并把下面这组 IOC 加进 DNS 与流量检测：
# 漏洞利用投递
cdn.gotoiphone.com
mzpo30.cam/assets/js/group.html
# C2
agdx53.cc
js.gotoiphone.com/ios18
# 流量特征：POST 到 /beacon /result /event /a /u /nb /war多个攻击团伙都在用这套工具链，IOC 会跨事件重复出现；命中后按「已失陷」处理。