Sicherheitsanalysten von Censys haben eine umfangreiche Cyberspionage-Kampagne aufgedeckt, die ein als DarkSword bezeichnetes Exploit-Kit nutzt, um gezielt mobile Endger\u00e4te anzugreifen. Berichten zufolge wird die Schadsoftware \u00fcber mehr als 180 infizierte Webseiten und 27 verschiedene Hosts verbreitet. Ziel der Angriffe ist die Installation einer speziellen Malware auf iPhones, um sensible Nutzerdaten systematisch zu entwenden.<\/p>\n
Die Infrastruktur hinter dieser Kampagne ist global verteilt, weist jedoch einen deutlichen Schwerpunkt im asiatisch-pazifischen Raum auf. Den Analysen zufolge wird das DarkSword-Kit von einem chinesischsprachigen Akteur betrieben, der unter anderem eine Gruppe mit der Bezeichnung \u201e\u4e9a\u592a\u96c6\u56e2\u201c (Asia-Pacific Group) nutzt und \u00fcber einen Telegram-Kontakt f\u00fcr die Koordination erreichbar ist.<\/p>\n
Funktionsweise und betroffene Betriebssysteme<\/p>\n
Das Exploit-Kit zielt prim\u00e4r auf mobile Endger\u00e4te ab, auf denen die Betriebssystemversionen iOS 18.4 bis iOS 18.7 installiert sind. Zur Verbreitung setzen die Hinterm\u00e4nner auf T\u00e4uschung: \u00dcber 100 der identifizierten Web-Properties sind als gef\u00e4lschte Login-Seiten getarnt, die legitime Dienste wie Amazon Web Services (AWS) oder Apple-ID-Anmeldungen imitieren.<\/p>\n
Anzeige<\/p>\n
Viele iPhone-Nutzer \u00fcbersehen nach dem Update oft entscheidende Sicherheitseinstellungen, was sie anf\u00e4llig f\u00fcr solche gezielten Datendiebst\u00e4hle macht. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich sch\u00fctzen. Sicherheits-Ratgeber f\u00fcr iPhone-Updates jetzt kostenlos sichern<\/a><\/p>\n Sobald ein Nutzer auf eine dieser pr\u00e4parierten Seiten gelangt, wird das DarkSword-Exploit-Kit aktiv. Es dient als Einfallstor f\u00fcr die Installation des sogenannten GHOSTBLADE-Stealers. Diese Schadsoftware ist darauf spezialisiert, tiefgreifende Informationen aus dem infizierten Ger\u00e4t auszulesen. Dazu geh\u00f6ren laut den vorliegenden Erkenntnissen Zugangsdaten aus dem Schl\u00fcsselbund (Keychain), iCloud-Daten sowie gespeicherte Wi-Fi-Passw\u00f6rter. Im Rahmen der Untersuchungen wurde zudem die Existenz eines weiteren C2-Frameworks namens Thorn C2 festgestellt, das ebenfalls Teil der Angriffswelle ist.<\/p>\n Globale Infrastruktur und Kontrollmechanismen<\/p>\n Die technische Basis f\u00fcr die Kampagne umfasst sieben zentrale Admin-Hosts, die strategisch in Hongkong, den USA und Japan positioniert sind. Ein besonderes Augenmerk der Forscher liegt auf einem Server in Hongkong mit der IP-Adresse 103.106.190.217. Dieser Server erf\u00fcllt eine Doppelfunktion, indem er sowohl als K\u00f6der f\u00fcr Apple-ID-Anmeldedaten dient als auch f\u00fcr das sogenannte Exploit-Staging, also die Vorbereitung des eigentlichen Angriffs, genutzt wird.<\/p>\n Anzeige<\/p>\n