单篇博客：底牌组合详解

网络安全公司 iVerify 于本周二（10 月 8 日）发布报告，公开了 iOS 平台上一款名为 P7 DarkSword 的间谍软件新变种，该变种针对苹果 iPhone 设备（具体受影响型号尚未公布）。该恶意程序在极力隐藏自身痕迹的同时，每 15 秒与攻击者服务器进行一次双向远程控制通信，能够窃取照片、备忘录、应用数据及各类文件。

这一发现源自 8 月对一起 DarkSword 感染事件的调查。通过深入分析，安全人员确认攻击者使用了一个此前未知的变种，并将其命名为 P7 DarkSword。该名称源于攻击者在修改原始代码时采用的 p7_ 变量前缀。此变种主要在隐蔽性、稳定性和功能三个方面进行了升级。

根据博文介绍，该变种移除了 HTTP 请求和系统日志中的调试信息，减少了进程注入的次数，并利用浏览器的 localStorage 功能防止设备被重复利用。

该恶意程序会注入 iPhone 的 SpringBoard 进程，并通过 /beacon 端点每 15 秒向攻击者服务器发送一次请求。攻击者可以远程调整通信间隔，并下发文件读取、照片上传、应用枚举、磁盘扫描以及执行 JavaScript 等指令。

P7 DarkSword 能够将设备钥匙串数据转换为 JSON 格式后外传，并扫描设备上已安装的加密钱包应用。研究样本显示，其 wallet_extract 指令可以提取 imToken 钱包的相关数据。

该变种还能上传照片、Apple Notes 数据库、应用沙盒文件以及指定路径下的匹配文件。其 /war 端点用于外传钥匙串与钱包数据，/p 端点用于照片外传，/nb 端点则用于备忘录外传。

iVerify 指出，P7 DarkSword 表明 DarkSword 的运营者仍在持续迭代其植入程序。与许多由 AI 辅助生成的变种相比，该变种的作者在代码修改上投入了更多精力，在缩小设备痕迹的同时，也扩展了窃取数据的能力。