P7 DarkSword漏洩iOSエクスプロイトキットで暗号資産を窃取

概要

• DarkSwordは、ブラウザのサンドボックス脱出からカーネル権限、そしてSpringBoardへの注入までをつなぐ連鎖として知られる。キットは二次流通し、トルコの監視ベンダーPARS Defense、ロシア系のStar Blizzard（COLDRIVER）、中国語話者の攻撃者など複数の主体が使ってきた、とThe Hacker Newsが各社の調査をまとめている。
• P7は、そのインプラント側を「静かで、盗み方が上手い」方向へ改修した変種である。デバッグログを消し、ブラウザのlocalStorageで再攻撃を防ぎ、キーチェーン処理を端末内で完結させてから送出する（iVerify）。
• 同時期に、捨てられた分析タグのドメイン再取得という、Web側の古い借金がiPhoneのフルチェーン配信口になった事例がReport URIから報告された。キットの入手難易度が下がったことと、配信口の多様化が同時に進んでいる。

この記事では、ベンダー・公的機関・研究者・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。個別CVE番号の列挙は、一次のCensys／iVerifyページで未確認のものは避け、連鎖の段階説明に留めます。

何が起きたか（時系列）

技術的な問題点（根本原因）

事実（iVerify、THN、Report URI）

• 連鎖の骨格（高レベル）: SafariのJavaScriptエンジンでのコード実行 → サンドボックス脱出（GPUプロセスやmediaplaybackdなどを経る、とReport URI） → カーネル系の権限獲得 → SpringBoardへインプラント注入。SpringBoardがC2通信を担う（iVerify）。
• P7の改修点:
  1. ステルス: HTTPリクエストやsyslogへのデバッグログを削除し、プロセス注入の回数を減らす。
  2. 安定性: ブラウザのlocalStorageで再エクスプロイトを抑止する。
  3. 窃取: 従来はキーチェーンDBをコピーして攻撃者側で処理していたのに対し、P7は端末上でJSONに展開してから送出する。暗号資産ウォレット向けのスキャン／抽出コマンドを持つ。
• C2: 既定で約15秒ごとに POST /beacon（間隔は sleep で変更可）。ほかに登録、ハートビート、アプリ一覧、Notes、写真、キーチェーン＋ウォレット（/war）などのエンドポイントがある（iVerify）。Report URIが回収したビルドは mertio[.]cc へ約30秒間隔、としている（ビルド差）。
• コマンド例（iVerify）: execute_command（ls／cat／ps／memdump／netstat等）、download、photos、wallet_scan、wallet_extract（imToken）、memo_scan、photo_scan、disk_scan、ios_app_data、exec（インプラント内JS）、sleep、exit など。
• 配信（Report URI）: 失効した分析タグ → クローキング付きリダイレクタ → トラフィックブローカー → 偽「AI暗号クオンツ」サイト chainmate[.]top → 隠れフレームからiOS 18.4.0〜18.7.2向けローダ。SMS・連絡先・写真・ヘルスケア・位置・Wi-Fiパスワード、およびMetaMask／Trust／Phantom／Coinbase／OKX／Binance／imTokenなど25超のウォレットファイルを狙う、と記載。

考察

ブラウザ経由のゼロクリックに近い連鎖と、ECサイトに残った「忘れられたタグ」は、利用者から見ると別世界の話に見える。実際には、タグの行き先がキットの入り口になり、Safariを開いただけの訪問者がSpringBoard上のエージェントまで落ちる。モバイルの脆弱性管理と、Webのサードパーティ資産管理が、同じ被害者の一台でつながっている。

攻撃・侵入経路

flowchart TD
    A[オンライン店舗に残った<br/>期限切れ分析タグ等] --> B[再登録ドメインの悪意あるJS<br/>ボットにはクローキング]
    B --> C[ブローカー経由で誘導<br/>偽暗号資産サイト等]
    C --> D[Safari / iOS 18.4〜18.7向け<br/>DarkSword連鎖]
    D --> E[サンドボックス脱出 → カーネル<br/>→ SpringBoardへ注入]
    E --> F[P7インプラント<br/>15秒間隔でbeacon]
    F --> G[キーチェーンJSON化<br/>Notes / 写真 / ウォレット]
    G --> H[C2へ送出<br/>双方向コマンド実行]

事実（補足）

• iVerifyは、多くの変種がAI支援の粗雑な改変である一方、P7はコードを理解した改修だと評価している。
• Censysは、DarkSword／Coruna関連コンポーネントを載せたオープンディレクトリを複数ホストで確認し、中国語UIの運用パネルや実端末からのビーコン、別主体の独自C2なども報告している、とTHNが伝える（詳細ホスト一覧はTHN記事参照）。
• Corunaはブラウザセッション内で動くコンパニオンで、ウォレットのリカバリーフレーズやキーストアを狙う。両者を束ねた配布をiVerifyはDarkCorunaと呼ぶ。

なぜ防げなかったか・構造的要因の考察

ここからは筆者の考察である。

1. キットの二次流通: 商用チェーンが漏洩・転売されると、国家級の攻撃面が犯罪者や監視ベンダーにコピーされる。パッチが追いつくまでの「対応OS帯」が、そのまま市場の商品仕様になる。
2. 忘れられた第三者タグ: サービスが死んでもHTMLに残るスクリプトは、ドメイン代が切れた瞬間に攻撃者のCDNになる。CSPやSRIがなければ、サイト所有者は中身の差し替えに気づけない。
3. 防御の非対称: 利用者は「怪しいIPAを入れない」訓練はしていても、正規の店舗サイトからSafariだけで完結する攻撃には無力に近い。
4. LLMによる改変の両面: 壊れた更新の量産はノイズだが、成功すれば対応バージョンが一気に広がる。P7のように手作業で質を上げる改変と、粗雑な量産が同時に存在する。

運用者向けの具体的な対策と検知ポイント

対策

1. iOSを最新にする。MDM管理端末はOSの強制更新と、不審な構成プロファイルの監視を行う。
2. Webの第三者スクリプトを棚卸しし、不要タグを削除。重要スクリプトはサブリソース完全性（SRI）や、Report URIが勧める整合性モニタで差分検知する。
3. 暗号資産を扱う利用者・企業は、シードを端末外のオフラインに保管し、iOS単体を単一障害点にしない。
4. SOCはiVerifyのIOCをモバイル／プロキシログに入れる。HTTPSでも証明書検証が緩い通信、とiVerifyは指摘している。

検知ポイント（iVerify／Report URI）

• ドメイン・URL例: cdn[.]gotoiphone[.]com、mzpo30[.]cam、agdx53[.]cc、ecomtrack[.]io、chainmate[.]top、zhengxin021[.]top、mertio[.]cc など（完全な一覧は各報告のIOC節）。
• 端末パス: /private/var/tmp/keychain_c2_dump.json（および .tmp / .done）、/private/var/tmp/p7_debug.log、/private/var/tmp/c2_wallet_debug.log、Notesコピー _hq_notestore* など。
• 通信: HTTP/1.0 の POST /beacon、固定のiPhone Safari User-Agent文字列、/war へのキーチェーン＋ウォレット送出。
• localStorageキー: lab_device_uuid、__ds_inflight_worker、_x_pe_done など。

参考リンク

• iVerify: Sleep, Beacon, Steal, Repeat - The Story of P7 DarkSword Variant
• Report URI（Scott Helme）: Abandoned Analytics Domain Funnels Store Visitors to DarkSword iPhone Exploits
• The Hacker News: P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands