P7 DarkSword: iOS sob ataque e roubo de carteiras cripto

Um novo e perigoso exploit kit para iOS acaba de ser revelado. Batizado de P7 DarkSword, ele representa uma evolução assustadora no cenário de ameaças móveis. Pesquisadores da iVerify divulgaram detalhes técnicos que acendem um alerta vermelho para qualquer usuário de iPhone.

Diferente das versões anteriores, o P7 DarkSword reduz sua pegada no dispositivo, adiciona roubo de chaves do iCloud e carteiras de criptomoedas e estabelece comunicação bidirecional com a infraestrutura do invasor. Isso significa controle remoto total e silencioso.

O nome “P7” vem do prefixo de variável “p7” usado nas modificações do código original. O DarkSword original foi documentado em março de 2026, mas esta nova variante mostra que os criminosos estão refinando suas armas rapidamente.

Como o P7 DarkSword infecta seu iPhone

O exploit kit é projetado para encadear múltiplas vulnerabilidades do iOS. O objetivo é escapar da sandbox do navegador, escalar privilégios para o kernel e injetar o payload principal no SpringBoard — o processo central do iPhone.

Uma vez dentro, o implante se esconde e passa a se comunicar com o servidor de comando e controle (C2) a cada 15 segundos. Ele envia um “heartbeat”, lista de aplicativos instalados e, mais grave, extrai dados do Keychain do iCloud e de apps como Notas, Fotos e carteiras de criptomoedas.

O P7 DarkSword não é apenas um spyware. Ele é uma ferramenta completa de roubo de identidade digital e financeira. Entre os comandos suportados estão:

• executecommand – executa comandos do sistema como ls, cat, rm, ps e whoami
• download – lê arquivos do dispositivo e envia ao C2
• photos – rouba fotos de /var/mobile/Media/DCIM
• walletscan e walletextract – escaneiam e extraem dados de carteiras cripto, com foco no app imToken
• memoscan e photoscan – roubam notas e fotos
• fileupload – varre caminhos e envia arquivos correspondentes

É um arsenal completo para vigilância e extorsão. E o pior: ele está sendo distribuído ativamente.

Distribuição em massa via sites legítimos comprometidos

Uma descoberta perturbadora veio à tona: o P7 DarkSword está sendo entregue por meio de um domínio antes legítimo, ecomtrack.io, que pertencia a uma startup de analytics de e-commerce. Após o domínio expirar, criminosos o registraram novamente em setembro de 2026.

Agora, qualquer site que ainda tenha o tag de rastreamento da ecomtrack.io carrega um JavaScript malicioso. Esse script detecta crawlers e bots, usa cloaking para esconder o ataque e redireciona visitantes reais para sites fraudulentos. Em um dos casos, ele entrega a cadeia completa de exploits do iOS.

Isso significa que você pode ser infectado ao visitar uma loja online comum, sem clicar em nada suspeito. O script coleta informações do dispositivo e navegador e, em seguida, redireciona para uma plataforma falsa de criptomoedas chamada chainmate.top, que serve o exploit.

O implante entregue por essa rota é ainda mais agressivo: captura SMS, contatos, histórico de chamadas, correio de voz, fotos, dados de saúde, localização, notificações, senhas de Wi-Fi e arquivos de mais de 25 carteiras cripto.

Conexão com o roubo de notebooks e computadores

Se o seu iPhone pode ser comprometido silenciosamente, imagine o que acontece quando um criminoso coloca as mãos no seu notebook ou computador roubado. Muitas pessoas não protegem adequadamente seus dispositivos, deixando portas abertas para roubo de dados.

Um notebook furtado pode conter sessões ativas em navegadores, chaves de acesso, carteiras cripto e documentos pessoais. Sem criptografia de disco e senha forte, o ladrão tem acesso total. E mesmo com senha, ferramentas de extração de disco podem contornar proteções básicas.

O P7 DarkSword nos ensina uma lição: a superfície de ataque é maior do que imaginamos. Se um site legítimo pode infectar seu iPhone, um notebook roubado é um tesouro aberto. Por isso, a segurança deve ser em camadas:

• Criptografe seu disco (FileVault no macOS, BitLocker no Windows).
• Use senha forte de BIOS/UEFI para impedir boot por mídia externa.
• Ative o “Buscar” (Find My) para rastrear e apagar remotamente.
• Nunca salve senhas no navegador sem uma senha mestra.
• Faça backup regular e mantenha o sistema atualizado.

Essas medidas reduzem drasticamente o impacto de um furto. Mas se o ataque é remoto, como no caso do P7 DarkSword, a prevenção passa por monitoramento contínuo de identidade.

Por que o P7 DarkSword é um alerta para todos

O DarkSword original já era uma arma comercial que vazou para o mercado negro. Agora, com o P7, vemos atores financeiramente motivados aprimorando o código. A iVerify observou tentativas de atualizar o framework para iOS 26, usando assistência de IA. Isso mostra que a ameaça está evoluindo.

Além disso, a Censys identificou servidores abertos com componentes do DarkSword e Coruna, outro exploit kit. Em um dos servidores, foram encontradas 11 frases de recuperação de carteiras cripto e 179 diretórios de dados roubados. O estrago já é real.

O P7 DarkSword inclui duas novas CVE não documentadas anteriormente: CVE-2025-24201 (WebKit) e CVE-2025-31200 (Core Audio). Ambas já foram corrigidas pela Apple, mas muitos usuários não atualizam seus dispositivos. Atualize já para o iOS mais recente.

Enquanto isso, o golpe não para. Recentemente, alertamos sobre o golpe Revolut em Jersey, que mostra como criminosos usam engenharia social para roubar identidades. E a Marinha dos EUA alertou sobre redes sociais como arma, reforçando que a exposição de dados pessoais é um vetor crítico.

O que fazer agora: proteja sua identidade digital

O P7 DarkSword é um lembrete brutal: nenhum dispositivo é 100% seguro. A melhor defesa é a vigilância ativa. Você precisa saber se seus dados já vazaram, se suas senhas estão circulando na dark web e se sua identidade está sendo usada em golpes.

Na Kzarka, oferecemos monitoramento contínuo de vazamentos de dados e proteção contra roubo de identidade. Nossa plataforma varre a internet profunda em busca de suas informações pessoais, como e-mails, senhas, CPF, números de telefone e até chaves de carteiras cripto.

Se você usa iPhone, carteiras cripto ou simplesmente navega na web, você está em risco. Não espere ser a próxima vítima. Acesse a Kzarka agora e faça uma verificação gratuita. Descubra se seus dados foram expostos e assuma o controle da sua segurança digital.

Perguntas Frequentes (FAQ)

O que é o P7 DarkSword?

É uma variante avançada do exploit kit DarkSword para iOS. Ele permite roubo de dados do Keychain, carteiras cripto e controle remoto do dispositivo, com comunicação bidirecional com o servidor do atacante.

Como o P7 DarkSword é distribuído?

Ele está sendo entregue por meio de sites legítimos comprometidos que carregam um JavaScript malicioso de um domínio de analytics re-registrado. Ao visitar esses sites, o usuário pode ser redirecionado para uma página que explora vulnerabilidades do iOS.

Quais versões do iOS são afetadas?

O DarkSword original visava iOS 18.4 a 18.7. O P7 DarkSword inclui exploits para CVE-2025-24201 e CVE-2025-31200, corrigidas em versões posteriores. Recomenda-se atualizar para o iOS mais recente.

O que devo fazer se meu iPhone for infectado?

Desconecte o dispositivo da internet, faça backup dos dados importantes (em um computador limpo), restaure o iPhone para as configurações de fábrica e instale todas as atualizações. Depois, altere todas as senhas, especialmente de e-mail, iCloud e carteiras cripto.

Como a Kzarka pode ajudar contra esse tipo de ameaça?

A Kzarka monitora vazamentos de dados e a dark web em busca de suas informações pessoais, como e-mails, senhas e dados financeiros. Se seus dados forem comprometidos, você recebe alertas imediatos para agir antes que os criminosos causem danos.