Das IT-Sicherheitsunternehmen SlowMist warnt Besitzer von iPhones und iPads vor Angriffen durch den Trojaner DarkSword und fordert zu umgehenden Betriebssystem-Aktualisierungen auf.
Laut einem Bericht vom 24. Oktober 2026 wies SlowMist-Cos darauf hin, dass installierte Anwendungen mit der Schadsoftware verseucht sein können. Das Schadprogramm führe gezielte Angriffe auf iPhone-Nutzer durch, die Kryptowährungen verwalten, mit dem Ziel, digitale Vermögenswerte zu entwenden.
Sandbox-Ausbruch und Diebstahl sensibler Wallet-Daten
Ebenfalls am 24. Oktober 2026 bestätigten Berichte unter Berufung auf das Monitoring von SlowMist-Yu-Xian die zielgerichtete Kampagne. DarkSword nutzt bestehende Schwachstellen in Apple-Betriebssystemen aus, um die strikte Sicherheitsabgrenzung der Anwendungen – die sogenannte Sandbox – zu durchbrechen. Nach Überwindung dieser Schutzmechanismen stiehlt der Trojaner sensible Daten direkt vom Gerät.
Dazu zählen im Schlüsselbund gespeicherte Passwörter, lokale Dateien mit privaten Schlüsseln für Krypto-Wallets sowie Notizen und weitere vertrauliche Informationen.
Viele iPhone-Nutzer übersehen nach dem Update diese gefährliche Einstellung. Ein Apple-Experte erklärt in diesem kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich schützen. 5 Schutzmaßnahmen für Ihr iPhone entdecken
Nach Erkenntnissen von SlowMist wurden bereits über 1.500 Phishing-Websites mit Bezug zu DarkSword aufgedeckt. Diese treten vor allem als manipulierte E-Commerce-Plattformen oder gefälschte Wallet-Anwendungen auf und visieren Handelsbörsen sowie Wallets an. Als primäre Schutzmaßnahme rät das Sicherheitsunternehmen zu einer sofortigen Aktualisierung von iOS.
Browser-Angriffe über Tausende manipulierte Websites
Weitere Details zur Verbreitung der Schadsoftware machten Analysen von Report URI und iVerify bekannt. Laut Berichten vom 22. und 23. Oktober 2026 verbreitet eine als DeadTag bezeichnete Operation eine Variante des Schädlings namens AKS40 an Besucher mit den iOS-Versionen 18.4 bis 18.7. Die eingesetzten Exploit-Kits greifen den Webbrowser an, ohne dass Nutzer dafür aktiv auf eine Schaltfläche klicken müssen.
Die Malware zielt darauf ab, Keychain-Passwörter sowie Zugänge zu Wallets wie Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink und Bitpie zu erbeuten.
Wer sich mit der Sicherheit seines Betriebssystems befasst, sollte nach jedem Update bestimmte Einstellungen sofort überprüfen. Dieser kostenlose Leitfaden zeigt die einfache Schritt-für-Schritt-Methode für Einsteiger, um iOS-Updates sicher und ohne Datenverlust zu installieren. Kostenlosen PDF-Ratgeber herunterladen
Scott Helme wies laut den Veröffentlichungen Spyware-Code auf mindestens 6.600 legitimen Websites nach, die zusammen auf 49 Mio. monatliche Aufrufe kommen. Allein 248 Sites mit 8 Mio. monatlichen Besuchern dienten demnach direkt der Verteilung der Spyware. Gleichzeitig registriert DeadTag bis zu 10 neue Domains pro Woche. Betroffene iPhone-Nutzer werden unter anderem auf eine nachgeahmte Seite des Prognosemarkts Polymarket geleitet.
Wie iVerify-CEO Rocky Cole erläuterte, müssen Anwender keine offenkundig bösartigen Webseiten aufrufen; bereits das einfache Scrollen auf kompromittierten Seiten reiche für eine Infektion aus. DarkSword wird zudem über eine Anzeige zur Fußball-Weltmeisterschaft auf Instagram verteilt. Das Exploit-Set Coruna attackiert dabei ältere iPhones, während DarkSword auf neuere Modelle zielt; beide greifen ungepatchte Systeme an.
Frei verfügbare Exploit-Sets verstärken Bedrohungslage
Die Gefährdungslage spitzt sich zu, da die Exploit-Sets Coruna und Darksword laut einem Bericht von Positive Technologies vom 23. Oktober 2026 seit Kurzem öffentlich zugänglich sind. Angreifer nutzen diese Baukästen zunehmend für eigene Schadsoftware-Kampagnen.
Danny Rogers, ebenfalls CEO bei iVerify, verwies in einem Bericht vom 22. Oktober 2026 auf mehrere schwere mobile Bedrohungen der vergangenen sechs Monate. Neben DarkSword und Coruna traten demnach auch Fomopeek über den App Store mit Kernel-Exploits sowie WeWorm als erste wurmfähige Zero-Click-Malware für iOS und Android über WeChat in Erscheinung.
Sicherheitsexperten empfehlen Nutzern neben zügigen Betriebssystem-Aktualisierungen die Aktivierung des Apple-Blockierungsmodus bei Transaktionen mit Kryptowährungen. Ergänzend wird auf Analysetools wie iVerify Basic zur Überprüfung von Geräten auf Auffälligkeiten verwiesen.