Sicherheitsanalysten von Censys haben eine umfangreiche Cyberspionage-Kampagne aufgedeckt, die ein als DarkSword bezeichnetes Exploit-Kit nutzt, um gezielt mobile Endgeräte anzugreifen. Berichten zufolge wird die Schadsoftware über mehr als 180 infizierte Webseiten und 27 verschiedene Hosts verbreitet. Ziel der Angriffe ist die Installation einer speziellen Malware auf iPhones, um sensible Nutzerdaten systematisch zu entwenden.
Die Infrastruktur hinter dieser Kampagne ist global verteilt, weist jedoch einen deutlichen Schwerpunkt im asiatisch-pazifischen Raum auf. Den Analysen zufolge wird das DarkSword-Kit von einem chinesischsprachigen Akteur betrieben, der unter anderem eine Gruppe mit der Bezeichnung „亚太集团“ (Asia-Pacific Group) nutzt und über einen Telegram-Kontakt für die Koordination erreichbar ist.
Funktionsweise und betroffene Betriebssysteme
Das Exploit-Kit zielt primär auf mobile Endgeräte ab, auf denen die Betriebssystemversionen iOS 18.4 bis iOS 18.7 installiert sind. Zur Verbreitung setzen die Hintermänner auf Täuschung: Über 100 der identifizierten Web-Properties sind als gefälschte Login-Seiten getarnt, die legitime Dienste wie Amazon Web Services (AWS) oder Apple-ID-Anmeldungen imitieren.
Viele iPhone-Nutzer übersehen nach dem Update oft entscheidende Sicherheitseinstellungen, was sie anfällig für solche gezielten Datendiebstähle macht. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich schützen. Sicherheits-Ratgeber für iPhone-Updates jetzt kostenlos sichern
Sobald ein Nutzer auf eine dieser präparierten Seiten gelangt, wird das DarkSword-Exploit-Kit aktiv. Es dient als Einfallstor für die Installation des sogenannten GHOSTBLADE-Stealers. Diese Schadsoftware ist darauf spezialisiert, tiefgreifende Informationen aus dem infizierten Gerät auszulesen. Dazu gehören laut den vorliegenden Erkenntnissen Zugangsdaten aus dem Schlüsselbund (Keychain), iCloud-Daten sowie gespeicherte Wi-Fi-Passwörter. Im Rahmen der Untersuchungen wurde zudem die Existenz eines weiteren C2-Frameworks namens Thorn C2 festgestellt, das ebenfalls Teil der Angriffswelle ist.
Globale Infrastruktur und Kontrollmechanismen
Die technische Basis für die Kampagne umfasst sieben zentrale Admin-Hosts, die strategisch in Hongkong, den USA und Japan positioniert sind. Ein besonderes Augenmerk der Forscher liegt auf einem Server in Hongkong mit der IP-Adresse 103.106.190.217. Dieser Server erfüllt eine Doppelfunktion, indem er sowohl als Köder für Apple-ID-Anmeldedaten dient als auch für das sogenannte Exploit-Staging, also die Vorbereitung des eigentlichen Angriffs, genutzt wird.
Angesichts immer komplexerer Angriffe auf Apple-IDs und iCloud-Konten wird technisches Grundwissen für Nutzer zum wichtigsten Schutzschild. Dieses Gratis-Lexikon erklärt Ihnen die 53 wichtigsten Begriffe wie Apple-ID oder iCloud verständlich und hilft Ihnen, sicher durch die digitale Welt zu navigieren. Kostenloses iPhone-Lexikon für Einsteiger herunterladen
Die Verwaltung der Angriffe erfolgt über verschiedene spezialisierte Dashboards. Die Analysten konnten Zugriff auf Panels wie DarkSword Admin, ein Decode Dashboard sowie ein zentrales C2 Control Panel (Command and Control) identifizieren. Die Reichweite der Operation beschränkt sich dabei nicht nur auf den asiatischen Raum; Betroffene und Infrastrukturbestandteile wurden neben Hongkong und Japan auch in den USA sowie in Europa lokalisiert.
Sicherheitslage und Empfehlungen
Obwohl die Kampagne durch ihre professionelle Struktur und die gezielte Auswahl der Opfer als gefährlich eingestuft wird, gibt es für Nutzer einen wichtigen Aspekt zur Entwarnung: Die vom DarkSword-Kit ausgenutzten Sicherheitslücken wurden von Apple bereits durch entsprechende Patches geschlossen. Dass die Angriffe dennoch erfolgreich sein können, liegt laut Expertenberichten oft an verzögerten Software-Updates aufseiten der Anwender.
Sicherheitsexperten raten dringend dazu, die installierten iOS-Versionen auf den neuesten Stand zu bringen, um die bekannten Schwachstellen zu schließen. Da die Kampagne massiv auf Phishing-Seiten setzt, die AWS- oder Apple-ID-Logins nachahmen, wird zudem zur erhöhten Vorsicht bei der Eingabe von Zugangsdaten auf unbekannten Webseiten gemahnt. Die Analyse der genutzten Infrastruktur deutet darauf hin, dass die Akteure bereits bestehende Sicherheitslücken in einer koordinierten Kampagne verwerten, um eine möglichst breite Basis an kompromittierten Geräten zu erreichen.
