Malwareios Apple cible les applications crypto sur les iPhones non corrigés : Google

En résumé

• Des chercheurs de Google ont identifié une chaîne d'exploits iOS appelée DarkSword, qui fonctionne contre les iPhones exécutant iOS versions 18.4 à 18.7.
• L'exploit peut être utilisé pour déployer le malware Ghostblade, qui cible spécifiquement les applications d'échange et de portefeuille de cryptomonnaies.
• Des campagnes utilisant DarkSword ont été observées en Arabie Saoudite, en Turquie, en Malaisie et en Ukraine, avec certains attaques compromettant des sites gouvernementaux.

Des chercheurs de Google ont identifié une chaîne d'exploits iOS utilisée en situation réelle, permettant de livrer un malware ciblant spécifiquement les applications de cryptomonnaies sur des iPhones vulnérables. L'exploit, nommé DarkSword, exploite six vulnérabilités pour déployer un malware sur des appareils fonctionnant sous iOS versions 18.4 à 18.7, selon la recherche. Une fois qu'un utilisateur visite un site malveillant ou compromis avec un appareil vulnérable, l'exploit est utilisé pour déployer le malware, notamment un voleur de données basé sur JavaScript appelé Ghostblade, qui recherche activement des applications majeures d'échange de cryptomonnaies telles que Coinbase, Binance, Kraken, Kucoin, OKX et MEXC.

Ghostblade recherche également des applications populaires de portefeuille de cryptomonnaies, notamment Ledger, Trezor, MetaMask, Exodus, Uniswap, Phantom et Gnosis Safe, tout en exfiltrant simultanément des messages SMS et iMessage, l'historique des appels, les contacts, les mots de passe Wi-Fi, les cookies et l'historique de navigation Safari, les données de localisation, les données de santé, les photos, les mots de passe enregistrés, ainsi que l'historique des messages de Telegram et WhatsApp. Plusieurs acteurs déploient cet exploit, allant de fournisseurs de logiciels espions commerciaux à des groupes soutenus par l'État, avec des campagnes observées en Arabie Saoudite utilisant une imitation de Snapchat, et en Ukraine via des sites web compromis, y compris un site gouvernemental.  Ghostblade est conçu pour un vol rapide de données plutôt que pour une surveillance à long terme — il collecte toutes les données disponibles, puis supprime ses fichiers temporaires et s’éteint.

C’est la dernière vague de malware ciblant les utilisateurs de cryptomonnaies, comprenant le malware Inferno Drainer qui a volé environ 9 millions de dollars aux utilisateurs de cryptomonnaies sur une période de six mois l’année dernière, ainsi qu’une campagne où des smartphones Android contrefaits étaient préchargés avec un malware volant de cryptomonnaies.