Le kit DarkSword évolue : la variante P7 vole trousseau iOS et portefeuilles crypto, avec un canal C2 bidirectionnel.

Les chercheurs en sécurité viennent de dévoiler une nouvelle version du kit DarkSword, un outil d’exploitation visant iOS. Cette variante inédite porte le nom de P7 DarkSword. Elle se montre plus discrète et plus ambitieuse que les versions observées jusqu’ici. En effet, elle s’attaque aux secrets stockés sur l’iPhone. Par ailleurs, elle ouvre un dialogue permanent avec l’infrastructure de l’attaquant.

L’analyse a été publiée jeudi par la société iVerify. Ainsi, son rapport décrit les évolutions qui distinguent P7 des variantes habituelles.

Kit DarkSword : une variante inédite baptisée P7

DarkSword est un kit d’exploitation pour iOS. Autrement dit, il regroupe les composants nécessaires pour compromettre un appareil Apple. Il permet ensuite d’en extraire des données. Cependant, la variante P7 DarkSword n’avait jamais été documentée auparavant.

Les chercheurs d’iVerify la comparent aux variantes qu’ils croisent d’ordinaire. Ils relèvent trois différences majeures :

• une empreinte réduite sur l’appareil infecté ;
• le vol du trousseau et des portefeuilles de cryptomonnaies, directement sur l’appareil ;
• une communication bidirectionnelle avec le serveur de commande et de contrôle (C2).

Ces trois points marquent donc une évolution notable. Ils montrent également que les opérateurs du kit continuent de le perfectionner.

Une empreinte réduite sur l’appareil

Selon iVerify, P7 limite sa présence sur l’iPhone. C’est un choix stratégique. En effet, moins un logiciel malveillant laisse de traces, plus il est difficile à repérer.

Par ailleurs, une charge utile légère complique le travail des analystes. Il y a moins d’éléments à examiner et moins d’indices à corréler. Par conséquent, les équipes de réponse à incident disposent de peu de signaux.

Les éléments disponibles ne précisent pas les techniques employées pour cette discrétion. Il faut donc rester prudent sur les détails. Toutefois, l’orientation est claire : P7 cherche à en faire plus avec moins.

Trousseau et portefeuilles crypto dans le viseur

La deuxième nouveauté concerne le vol de données sensibles. P7 s’en prend notamment au trousseau de l’appareil. Ce composant conserve habituellement des mots de passe et d’autres identifiants. Ainsi, sa compromission peut donner accès à de nombreux comptes.

De plus, la variante vise les portefeuilles de cryptomonnaies présents sur l’appareil. Ce ciblage est révélateur. Il suggère une motivation financière, ou au moins un intérêt pour des actifs numériques directement monétisables.

Notons un point important : ce vol s’effectue sur l’appareil lui-même. Les données sont donc collectées localement, avant d’être remontées vers l’attaquant.

Un canal C2 dans les deux sens

La troisième évolution concerne la communication avec l’infrastructure de l’attaquant. Désormais, P7 gère un canal C2 bidirectionnel. En effet, le logiciel ne se contente plus d’envoyer des données volées. Il peut aussi recevoir des instructions.

Cette capacité change la nature de la menace. Ainsi, l’attaquant peut adapter son comportement en temps réel. Il peut, par exemple, choisir quelles données récupérer selon la cible. C’est pourquoi le titre de l’étude évoque aussi l’exécution de commandes à distance.

En outre, un canal bidirectionnel rend l’outil plus flexible. Un même kit peut ainsi servir des objectifs différents, sans nouvelle version.

Se protéger du kit DarkSword

Les informations disponibles ne détaillent pas le mode d’infection ni les versions d’iOS concernées. De plus, aucun identifiant CVE n’est cité dans les éléments dont nous disposons. Néanmoins, les bonnes pratiques générales s’appliquent pleinement face à ce type de menace.

• Mettre à jour iOS dès la sortie d’un correctif. En effet, les kits d’exploitation reposent sur des failles que les mises à jour comblent.
• Activer le mode Isolement (Lockdown Mode) si vous êtes une personne exposée. C’est le cas, par exemple, d’un journaliste, d’un dirigeant ou d’un militant.
• Éviter de stocker des sommes importantes dans un portefeuille crypto installé sur un smartphone. Un portefeuille matériel offre en effet une meilleure isolation.
• Changer ses mots de passe depuis un appareil sain si une compromission est suspectée.
• Se méfier des liens et des pièces jointes inattendus, quelle que soit leur origine.

Ce qu’il faut retenir

P7 DarkSword est une variante inédite du kit DarkSword, révélée par iVerify. Elle réduit son empreinte, dérobe le trousseau et les portefeuilles crypto, et dialogue dans les deux sens avec son C2. Ainsi, elle gagne en discrétion comme en capacité d’action.

Pour les organisations, le message est simple. Les appareils mobiles méritent la même surveillance que les postes de travail. Enfin, les utilisateurs d’iPhone ont tout intérêt à garder leur système à jour. Ils doivent également limiter les données sensibles stockées localement.

Source : P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands