พบช่องโหว่ลูกโซ่ DarkSword โจมตีกระเป๋าเงินบน iPhone

เว็บไซต์ปลอมที่แอบอ้างเป็นบริการ VPS ฟรี ถูกใช้เป็นเครื่องมือโจมตีช่องโหว่แบบลูกโซ่ที่มุ่งเป้าไปยังผู้ใช้กระเป๋าเงินดิจิทัลบน iOS เป้าหมายการโจมตีคือผู้ใช้ไอโฟนที่ใช้ Safari บน iOS เวอร์ชัน 18.4 ถึง 18.6.2

ทีมความปลอดภัยสโลว์มิสต์(SlowMist) เปิดเผยผลวิเคราะห์เมื่อวันที่ 4 ว่า หน้าเว็บอันตราย event[.]polarnode[.]vip จะโหลดสคริปต์ก่อนใช้ iframe ที่ซ่อนอยู่นำช่องโหว่ CVE จำนวน 6 รายการในชุดโจมตีดาร์กซอร์ด(DarkSword) กลับมาใช้ซ้ำ สโลว์มิสต์อธิบายว่าการโจมตีดังกล่าวประกอบด้วยขั้นตอนการรันโค้ดจากระยะไกลผ่านเว็บคิต(WebKit) การหลบหนีแซนด์บ็อกซ์ของ GPU และ mediaplaybackd รวมถึงการอ่านและเขียนข้อมูลระดับเคอร์เนล

สโลว์มิสต์ระบุว่าหากการโจมตีสำเร็จ ผู้โจมตีสามารถรวบรวมไฟล์ในแอปคอนเทนเนอร์และแอปกรุ๊ปที่ใช้ร่วมกันแบบเรียกซ้ำ พร้อมดึงข้อมูลจากคีย์เชน(Keychain) ได้ นอกจากนี้ยังพบว่าสามารถดักจับการพิมพ์บนคีย์บอร์ดได้เมื่อแอปกระเป๋าเงินอย่าง imToken, TokenPocket และ TronLink กำลังทำงานอยู่ที่หน้าจอหลัก

สโลว์มิสต์อธิบายว่ากรณีนี้เป็นการนำชุดช่องโหว่ดาร์กซอร์ดกลับมาใช้ซ้ำในลักษณะ n-day และย้ำว่าการเข้าชมหน้าเว็บเพียงอย่างเดียวยังไม่สามารถยืนยันได้ว่าซีดเฟรส(seed phrase)หรือคีย์ส่วนตัวถูกขโมยไป จำเป็นต้องตรวจสอบทางนิติวิทยาศาสตร์ดิจิทัลของอุปกรณ์เพื่อยืนยันอีกครั้ง