P7 DarkSword ชุดเจาะ iOS รุ่นใหม่ ขโมย keychain และกระเป๋าคริปโตพร้อมรับคำสั่งจาก C2 — แพร่ผ่านโดเมนแท็กวิเคราะห์ร้านค้าที่หมดอายุ ขณะ Censys เจอแพลตฟอร์มให้เช่าชุดเจาะของกลุ่มพูดจีน

สรุปสั้น

บริษัท iVerify ผู้ให้บริการด้านความปลอดภัยอุปกรณ์มือถือ เปิดเผยรายละเอียดของ P7 DarkSword ชุดเจาะระบบ iOS รุ่นใหม่ที่พัฒนาต่อจาก DarkSword ซึ่งซอร์สโค้ดรั่วสู่สาธารณะตั้งแต่ต้นปี รุ่นนี้ตัดการเขียนล็อกดีบักออก ลดร่องรอยบนเครื่อง แปลงข้อมูล keychain เป็น JSON บนโทรศัพท์ก่อนส่งออก ขโมยข้อมูลจากแอปกระเป๋าคริปโต Apple Notes และรูปภาพ และเพิ่มการสื่อสารสองทางกับเซิร์ฟเวอร์ C2 ที่ถามหาคำสั่งใหม่ทุก 15 วินาที ชื่อ “P7” มาจากคำนำหน้าตัวแปร p7_ ที่ผู้พัฒนาใช้ในโค้ดส่วนที่แก้เพิ่ม

ในสัปดาห์เดียวกัน บริษัท Report URI พบว่าชุดเจาะนี้ถูกแพร่ผ่านโดเมน ecomtrack[.]io ของสตาร์ตอัปวิเคราะห์ข้อมูลร้านค้าออนไลน์ในเช็กที่ปิดตัวไปแล้ว ผู้ไม่หวังดีจดโดเมนนี้ใหม่หลังหมดอายุ ทำให้แท็กติดตามที่ยังค้างอยู่บนร้านค้าออนไลน์กลายเป็นช่องทางส่งจาวาสคริปต์อันตรายให้ผู้เข้าชมทันที ส่วนบริษัท Censys พบโฮสต์ที่เปิด directory 5 แห่งซึ่งเก็บชิ้นส่วนของ DarkSword และ Coruna และพบแพลตฟอร์มแบบ exploitation-as-a-service ภาษาจีนที่มีระบบตัวแทนจำหน่าย สำเนาเซิร์ฟเวอร์ที่ได้มามี recovery phrase ของเหยื่อ 11 ชุด และโฟลเดอร์ข้อมูลที่ขโมยจากอุปกรณ์ 179 เครื่อง

การวิเคราะห์ทะเบียนช่องโหว่บนเซิร์ฟเวอร์ยังพบว่า DarkSword ใช้ช่องโหว่ 2 รายการที่ไม่เคยถูกระบุมาก่อนว่าอยู่ในชุดนี้ คือ CVE-2025-24201 ใน WebKit และ CVE-2025-31200 ใน Core Audio ทั้งคู่ Apple แก้แล้วใน iOS 18.3.2 และ 18.4.1 ตามลำดับ ผู้ใช้ iPhone ที่อัปเดตเป็นเวอร์ชันล่าสุดจึงไม่ได้รับผลจากชุดเจาะนี้ แต่อุปกรณ์ที่ค้างอยู่บน iOS 18.4–18.7 ยังเสี่ยง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม พ.ศ. 2569 ว่า iVerify เผยแพร่รายงานเกี่ยวกับ P7 DarkSword โดยระบุว่า “เมื่อเทียบกับรุ่นที่เราพบตามปกติ P7 ลดร่องรอยบนอุปกรณ์ เพิ่มการขโมย keychain และกระเป๋าคริปโตบนเครื่อง และเพิ่มการสื่อสาร C2 สองทางกับโครงสร้างพื้นฐานของผู้โจมตี” DarkSword ถูกเปิดเผยครั้งแรกเมื่อมีนาคม 2569 โดย Google Threat Intelligence Group (GTIG), iVerify และบริษัท Lookout ชุดเจาะนี้เล็ง iPhone ที่ใช้ iOS 18.4 ถึง 18.7 และพบการใช้งานจริงตั้งแต่พฤศจิกายน 2568 โดยเชื่อมช่องโหว่หลายตัวเพื่อหลุดจาก sandbox ของเบราว์เซอร์ ยกระดับสิทธิ์ถึงระดับเคอร์เนล แล้ว inject payload หลักเข้าไปใน SpringBoard ซึ่งเป็นโพรเซสที่ดูแลหน้าโฮมและการเปิดแอปของ iOS

นักวิจัยประเมินว่า DarkSword เดิมเป็นผลิตภัณฑ์เชิงพาณิชย์ที่หลุดไปอยู่ในตลาดมือสอง แล้วถูกผู้ก่อภัยที่หวังผลทางการเงินและกลุ่มอื่นซื้อไปใช้ตั้งแต่ปลายปี 2568 มีการใช้โจมตีเป้าหมายในซาอุดีอาระเบีย ตุรกี มาเลเซีย และยูเครน ผู้ใช้ที่ระบุตัวได้มีทั้งบริษัทขายเครื่องมือสอดแนมสัญชาติตุรกี PARS Defense ที่ใช้เว็บไซต์ปลอมธีม Snapchat และกลุ่ม Star Blizzard (COLDRIVER) ที่หนุนหลังโดยรัสเซียซึ่งใช้คำเชิญปลอมเป็นเหยื่อล่อ (ดูโพสต์ 2026/09/241 ) ส่วนเมื่อสิงหาคม 2569 Censys เคยรายงานผู้ก่อภัยพูดภาษาจีนที่ใช้ DarkSword ร่วมกับหน้าล็อกอิน Apple ID ปลอม (ดูโพสต์ 2026/08/012 )

iVerify ระบุว่าหลังซอร์สโค้ดรั่ว เมื่อเดือนที่แล้วพบ “ความพยายามหลายครั้งที่น่าจะใช้ LLM ช่วยอัปเดตเฟรมเวิร์กให้รองรับ iOS 26.x แต่ไม่สำเร็จ” และบางครั้งยังพบ DarkSword ถูกรวมกับ Coruna เป็นชุดเดียว ซึ่ง iVerify เรียกว่า DarkCoruna โดยเชื่อว่าผู้โจมตีได้ซอร์สโค้ดของ Coruna มาแก้แล้วคอมไพล์ใหม่ เพราะไม่พบร่องรอยการแพตช์ไบนารี iVerify ยอมรับว่า “ชุดที่รวมกันหลายตัวเป็นโค้ดคุณภาพต่ำที่สร้างด้วย AI และใช้งานไม่ได้” และผู้โจมตีฝีมือต่ำนำโค้ดที่แพตช์แล้วจาก GitHub มาใช้ทั้งที่ทำงานไม่ได้ แต่ไม่ตัดความเป็นไปได้ว่าผู้ที่ไม่มีซอร์สของ Coruna อาจใช้ LLM ช่วย reverse-engineer แล้วเขียนใหม่ เพียงแต่ยังไม่มีหลักฐานว่าเกิดขึ้นจริง

วิธีการโจมตี

P7 DarkSword ตัดการส่งล็อกดีบักผ่าน HTTP request และ syslog ออก และใช้ localStorage ของเบราว์เซอร์จดว่าเครื่องนี้ถูกเจาะแล้วเพื่อไม่ให้เจาะซ้ำ ซึ่งช่วยลดสัญญาณที่ผู้ป้องกันอาจตรวจพบ รุ่นก่อนหน้าคัดลอกฐานข้อมูล keychain ทั้งก้อนไปประมวลผลบนเซิร์ฟเวอร์ของผู้โจมตี แต่รุ่นนี้ดึงข้อมูล keychain ออกมาเป็น JSON บนโทรศัพท์ก่อนส่งออก implant ถูก inject เข้าไปใน SpringBoard ซึ่งรับหน้าที่สื่อสารกับโครงสร้างพื้นฐานของผู้โจมตีทั้งหมด

implant ถามหาคำสั่งทุก 15 วินาที ส่ง heartbeat รายชื่อแอปที่ติดตั้ง ข้อมูล iCloud Keychain และข้อมูลจาก Apple Notes, Photos และแอปกระเป๋าคริปโต คำสั่งที่รองรับมีทั้ง execute_command สำหรับรันคำสั่งระบบอย่าง ls, cat, ps, memdump, netstat, whoami คำสั่งดาวน์โหลดไฟล์และอัปโหลดรูปจาก /var/mobile/Media/DCIM คำสั่ง exec ที่รันจาวาสคริปต์ใดก็ได้ภายใน runtime ของ implant คำสั่ง disk_scan ที่ไล่สแกนระบบไฟล์ตั้งแต่ / แล้วส่งรายงานโครงสร้างไฟล์กลับ คำสั่ง ios_app_data ที่ดึงไฟล์จาก sandbox ของแอปตาม bundle ID ที่ระบุ คำสั่ง wallet_scan และ wallet_extract ที่เน้นแอปกระเป๋า imToken คำสั่ง memo_scan และ photo_scan ที่อัปโหลดฐานข้อมูล Notes และรูปภาพ รวมถึง sleep สำหรับปรับรอบการติดต่อและ exit สำหรับหยุด implant

ช่องทางแพร่ที่ Report URI พบใช้โดเมน ecomtrack[.]io ซึ่งถูกจดใหม่เมื่อ 15 กันยายน 2569 หลังหมดอายุ ร้านค้าที่ยังฝังแท็กติดตามของผลิตภัณฑ์นี้จะโหลดจาวาสคริปต์ใหม่ที่ตรวจหา crawler, headless browser และบอต แล้วส่งหน้าว่างให้เพื่อซ่อนตัว จากนั้นเก็บข้อมูลอุปกรณ์และเบราว์เซอร์ส่งออกไปภายนอก ก่อน redirect ผู้เข้าชมไปเว็บหลอกลวงหรือคาสิโนออนไลน์ เส้นทางหนึ่งนำไปสู่แพลตฟอร์มเทรดคริปโตปลอม chainmate[.]top ที่ส่งชุดเจาะ DarkSword อย่างเงียบ ๆ implant ที่ได้จากเส้นทางนี้เก็บ SMS รายชื่อผู้ติดต่อ ประวัติการโทร ข้อความเสียง รูปภาพ ข้อมูล Apple Health ประวัติตำแหน่ง การแจ้งเตือน รหัสผ่าน Wi-Fi และไฟล์ของแอปกระเป๋าคริปโตกว่า 25 แอป นาย Scott Helme นักวิจัยของ Report URI ระบุว่าโค้ดที่กู้ได้ “ติดต่อ mertio.cc ทุก 30 วินาที และรองรับคำสั่ง exec, download, photos และ spy” โดยเป็นบิลด์ v24 ที่ใหม่กว่า ใช้โครงสร้างพื้นฐานคนละชุด และเล็งกระเป๋าคริปโตมากกว่าเดิม

โครงสร้างพื้นฐานที่ Censys พบ

Censys พบโฮสต์ 5 แห่งที่เปิด directory ไว้และเก็บชิ้นส่วนของ DarkSword และ Coruna ซึ่งเป็นชุดเจาะ iOS อีกตัวที่เล็ง iOS 13.0 ถึง 17.2.1 Censys อธิบายว่า Coruna เป็นชุด payload คู่กันที่กระจายในระบบนิเวศเดียวกัน โดยทำงานในเซสชันเบราว์เซอร์ของเหยื่อหลังขั้นเจาะของ DarkSword สำเร็จ และมีโมดูลขโมย recovery phrase ยอดเงิน และข้อมูล keystore จากแอปกระเป๋าคริปโต โฮสต์หนึ่งให้บริการ DS-Fusion v1.0 (DarkSword Fusion) ที่รวมทั้งสองชุดไว้ในแพ็กเดียว โฮสต์ C2 อีกแห่งบันทึกว่ามีอุปกรณ์ iOS จริงในจีน 2 เครื่องเรียกหน้า beacon ทุก 3 วินาทีนานหลายชั่วโมงเมื่อ 6 กันยายน 2569 และอีกโฮสต์เป็นพื้นที่ทำงานที่แสดงว่าผู้ควบคุมกำลังพัฒนา exploit chain สำหรับ iOS 26 เช่น CVE-2026-31001 ซึ่งทั้ง DarkSword และ Coruna ยังไม่ครอบคลุม

ทะเบียนช่องโหว่บนเซิร์ฟเวอร์ production ยังเผยว่า DarkSword ใช้ CVE-2025-24201 ช่องโหว่ out-of-bounds write ใน WebKit ที่ใช้หลุดจาก Web Content sandbox (แก้ใน iOS/iPadOS 18.3.2) และ CVE-2025-31200 ช่องโหว่ memory corruption ใน Core Audio ที่รันโค้ดได้เมื่อประมวลผลสตรีมเสียงในไฟล์มีเดียที่สร้างขึ้นเป็นพิเศษ (แก้ใน iOS/iPadOS 18.4.1) นาย Aidan Holland นักวิจัยของ Censys ระบุว่า “แพลตฟอร์มนี้เป็นบริการ exploitation-as-a-service ภาษาจีน แผงผู้ดูแลมีโมเดลเอเจนต์และตัวแทนจำหน่าย สำเนาเซิร์ฟเวอร์ production ที่กู้ได้มี recovery phrase ของเหยื่อ 11 ชุด โฟลเดอร์ข้อมูลอุปกรณ์ 179 เครื่อง และรายชื่อบัญชีในระบบควบคุม 75 บัญชี” Censys สงสัยว่ากลุ่มโฮสต์นี้ดำเนินการโดยผู้ก่อภัยพูดภาษาจีนที่มุ่งขโมยคริปโต แต่ยังระบุไม่ได้ว่าเป็นใคร นอกจากนี้ยังพบผู้ควบคุมอีกรายในจีนใช้ชุดเจาะเดียวกันกับ C2 ของตัวเองที่ 66ds[.]lol โดยเพิ่มเป้าหมายกระเป๋า BitKeep และโยงกับผู้ควบคุมผ่าน CA แบบ self-signed เฉพาะตัว บนโฮสติงของ Tencent และเสิ่นหยาง

ผลกระทบ

ข่าวนี้แสดงให้เห็นว่าชุดเจาะ iOS ที่เคยเป็นสินค้าราคาแพงของผู้ขายเครื่องมือสอดแนม เมื่อซอร์สโค้ดรั่วแล้วกำลังกลายเป็นเครื่องมือทั่วไปของอาชญากรที่ล่ากระเป๋าคริปโต มีทั้งรุ่นที่พัฒนาต่อจนซ่อนตัวเก่งขึ้นอย่าง P7 รุ่นรวม DS-Fusion และบริการให้เช่าผ่านตัวแทนจำหน่าย ข้อมูลที่เสียไปไม่ได้มีแค่คริปโต แต่รวมถึง keychain รหัสผ่าน Wi-Fi SMS ที่อาจมีรหัส OTP และข้อมูลสุขภาพ ซึ่งเพียงพอให้ยึดบัญชีอื่นต่อได้

ช่องทางแพร่ผ่านโดเมน ecomtrack[.]io ยังเป็นความเสี่ยงที่ร้านค้าออนไลน์มักมองข้าม แท็กหรือสคริปต์ของบริการภายนอกที่เลิกใช้แต่ไม่ได้ถอดออก จะกลายเป็นช่องทางให้ผู้ที่จดโดเมนนั้นใหม่ส่งโค้ดอันตรายให้ลูกค้าของร้านได้ทันที โดยที่ร้านไม่ได้ถูกเจาะเลย ส่วนข้อจำกัดของหลักฐานคือ ชุดเจาะที่พบส่วนใหญ่ยังเล็ง iOS 18.4–18.7 ความพยายามทำให้รองรับ iOS 26 ยังไม่สำเร็จตามที่ iVerify พบ แม้โฮสต์หนึ่งจะแสดงว่ามีการพัฒนาอยู่ และผู้อยู่เบื้องหลังแพลตฟอร์มให้เช่ายังระบุตัวไม่ได้

คำแนะนำ

• ผู้ใช้ iPhone และ iPad ควรอัปเดตเป็น iOS/iPadOS เวอร์ชันล่าสุด อุปกรณ์ที่ยังค้างอยู่บน iOS 18.4–18.7 คือกลุ่มเสี่ยงหลักของชุดเจาะนี้ ผู้ที่มีความเสี่ยงสูงควรพิจารณาเปิด Lockdown Mode
• องค์กรที่มี MDM ควรตั้งนโยบายบังคับเวอร์ชัน iOS ขั้นต่ำ และตรวจหาอุปกรณ์ที่ไม่ได้อัปเดตเป็นเวลานาน
• ผู้ถือคริปโตบนมือถือไม่ควรเก็บ recovery phrase ไว้ใน Notes, Photos หรือแอปบนเครื่อง และควรแยกเงินจำนวนมากไปไว้ใน hardware wallet
• ระวังเว็บเทรดคริปโตหรือคาสิโนที่ถูก redirect ไปโดยไม่ได้ตั้งใจ ปิดหน้าเว็บทันทีแม้ยังไม่ได้กรอกข้อมูลใด ๆ เพราะชุดเจาะทำงานได้เพียงแค่เปิดหน้า
• ผู้ดูแลเว็บไซต์และร้านค้าออนไลน์ควรสำรวจสคริปต์และแท็กของบริการภายนอกทั้งหมด ถอดแท็กของบริการที่เลิกใช้แล้ว และใช้ Content Security Policy หรือ Subresource Integrity จำกัดแหล่งสคริปต์ที่โหลดได้
• ทีม SOC ควรนำโดเมนและ IP ในตาราง IoCs ด้านล่างไปค้นในล็อก DNS และ proxy

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนนำไปใช้ต้องแปลงกลับ

โดเมน

IP

แหล่งอ้างอิง

• DarkSword variant threat research — iVerify
• Proliferation of Coruna and DarkSword — iVerify
• Abandoned analytics domain funnels store visitors to DarkSword iPhone exploits — Report URI
• DarkSword/Coruna open directory finding report — Censys
• P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands — The Hacker News