Le malware DarkSword cible iOS et les portefeuilles crypto

Un kit d’exploitation iOS divulgué, baptisé DarkSword, est devenu une plateforme d’attaque pleinement opérationnelle qui vide spécifiquement les portefeuilles de cryptomonnaies et dérobe des données sensibles des utilisateurs. La société de sécurité SlowMist a cartographié l’infrastructure d’attaque active et prévient que la simple ouverture d’une page web malveillante dans Safari peut suffire à compromettre un appareil.

En bref :

Le code d’exploitation DarkSword divulgué est apparu sur GitHub en mars 2026 et a été enrichi en juillet au point de former une plateforme d’attaque complète.
Le kit dérobe des données du trousseau, des messages et des données de portefeuilles de cryptomonnaies, et peut vider automatiquement les portefeuilles.
SlowMist conseille de maintenir iOS à jour et, en cas de doute, de créer immédiatement un nouveau portefeuille sur un appareil non infecté.

D’un code divulgué à une plateforme d’attaque fonctionnelle

En mars 2026, les premiers fichiers liés à DarkSword ont été rendus publics sur GitHub. En quelques jours, plusieurs dépôts contenant du code d’exploitation ont suivi. Le 25 mars, le responsable de la sécurité de l’information de SlowMist a publiquement averti que les outils avaient fuité.

En juillet, une version plus complète est apparue sur GitHub sous le nom DarkSword-PROV2. Elle comprenait, outre la chaîne d’exploitation, un panneau d’administration, un serveur et une base de données. Fin septembre, l’infrastructure d’attaque associée a été observée active en ligne. Les domaines liés au réseau modifient quotidiennement leurs paramètres DNS afin de compliquer la détection.

SlowMist a analysé l’ensemble de la chaîne d’attaque et conclut que des composants d’exploitation accessibles publiquement ont été assemblés en un framework d’attaque clé en main. Selon la société de sécurité, le seuil pour mener des attaques iOS avancées s’en trouve considérablement abaissé.

SlowMist_Team @SlowMist_Team

🚨 Threat Intelligence | Analysis of the DarkSword Trojan Backend and iOS Attack Chain

Following the public release of #DarkSword-related exploit code in March 2026, DarkSword-PROV2 appeared on GitHub in July, with the attack infrastructure observed operating online in late September.

We traced the live attack infrastructure, linked its admin panels to public GitHub repositories, and analyzed the exploit code, payload library, delivery chain, and post-exploitation capabilities.

🔍 Key Findings:

🔹 A complete attack pipeline: The infrastructure integrates exploit delivery, device and data collection, data exfiltration, and crypto wallet fund consolidation.

🔹 Extensive data theft capabilities: The toolkit targets Keychain data, files, messages, and crypto wallet data, with additional capabilities for wallet data decryption and fund consolidation.

🔹 Broader claimed coverage, narrower functional coverage: Although the toolkit claims support for iOS 13 and later, code analysis identifies two functional exploit windows: iOS 18.6–18.7.2 and iOS 26.0–26.1. Many other version entries remain incomplete or unverified.

🔹 Public code weaponized: Publicly available exploit components have been integrated into a deployable attack framework, lowering the barrier to launching sophisticated #iOS attacks.

🛡️ Recommendations

Keep iOS updated and avoid untrusted links. Simply opening a malicious page in #Safari may trigger exploitation.

If a device has visited a suspicious landing page, treat its seed phrases and private keys as potentially compromised. Use a device that has never accessed the page to create a new wallet and transfer your assets. Also check for abnormal transactions and token approvals across chains, and revoke unnecessary approvals.

🔗 Read the full analysis: https://t.co/B1hYr9mGl5

19 oct. 2026Voir le tweet complet sur X ›

Portefeuilles de cryptomonnaies et données personnelles dans le viseur

La boîte à outils dispose de nombreuses fonctions de vol de données. Elle cible les données du trousseau, les fichiers, les messages et les données des portefeuilles de cryptomonnaies. Elle peut en outre déchiffrer les données de portefeuille et transférer automatiquement les avoirs vers des adresses contrôlées par l’attaquant. Des chercheurs en sécurité ont déjà observé comment des hackers blanchissent des cryptomonnaies volées via des cryptomonnaies anonymes, une tendance qui montre que les attaquants gèrent de manière toujours plus habile les gains tirés de ce type d’attaques.

Bien que la boîte à outils prétende prendre en charge iOS 13 et les versions ultérieures, l’analyse du code réalisée par SlowMist montre qu’il existe en pratique deux fenêtres d’exploitation fonctionnelles : iOS 18.6 à 18.7.2 inclus et iOS 26.0 à 26.1 inclus. De nombreuses autres entrées de version présentes dans le code sont incomplètes ou non vérifiées.

SlowMist conseille une action immédiate en cas de page suspecte

SlowMist recommande aux utilisateurs de toujours maintenir iOS à jour et de ne pas ouvrir de liens non fiables. Une attaque peut être déclenchée par le simple chargement d’une page malveillante dans Safari, sans autre interaction de l’utilisateur.

Toute personne soupçonnant que son appareil a consulté une page suspecte doit partir du principe que les phrases de récupération et les clés privées ont pu être interceptées. SlowMist conseille, dans ce cas, de créer un nouveau portefeuille sur un appareil qui n’a jamais consulté la page, d’y transférer les avoirs, puis de vérifier toutes les chaînes à la recherche de transactions suspectes et d’autorisations de jetons. Les autorisations inutiles doivent être révoquées.

Ceci ne constitue pas un conseil en investissement. CryptoNation propose uniquement des contenus éducatifs et informatifs. Les crypto-actifs sont très volatils et vous pouvez perdre tout ou partie de votre capital. Faites toujours vos propres recherches. Consultez notre avertissement complet.

Liens affiliés. Certains liens présents sur ce site sont des liens affiliés. Nous pouvons recevoir une commission si vous vous inscrivez auprès d’un partenaire via l’un de ces liens, sans coût supplémentaire pour vous. Cela n’influence jamais notre contenu éditorial. Consultez notre charte éditoriale.