هشدار CertiK درباره DarkSword و سرقت کیف پول رمزارز

هشدار CertiK: اکسپلویت DarkSword در iOS کیف پول‌های رمزارزی را هدف می‌گیرد

شرکت امنیتی CertiK هشدار سطح بالایی درباره موج تازه‌ای از اکسپلویت‌های DarkSword در iOS منتشر کرده است که کیف پول‌های ارز دیجیتال و اطلاعات حساس ذخیره‌شده روی دستگاه را در معرض خطر قرار می‌دهد. بر اساس هشدار ۶ نوامبر CertiK، زنجیره حمله می‌تواند تنها با بارگذاری یک صفحه وب مخرب در Safari، جاسوس‌افزار را به آیفون‌های وصله‌نشده منتقل کند و برای این کار به اتصال کیف پول یا امضای کاربر نیازی نیست. طبق گزارش‌ها، برنامه‌های هدف شامل MetaMask، Trust Wallet، Phantom، Exodus و Coinbase هستند و همچنین رمزهای عبور و عبارات بازیابی ذخیره‌شده در بخش‌های دیگر گوشی نیز در معرض سرقت قرار دارند.

چرا این موضوع برای کاربران رمزارز مهم است

برای هر کسی که دارایی دیجیتال نگهداری می‌کند، اکسپلویتی که عبارات بازیابی، ورودی‌های کی‌چین یا نسخه‌های پشتیبان کیف پول را جمع‌آوری کند، یک تهدید جدی محسوب می‌شود. زنجیره DarkSword صرفا به فریب کاربران برای تأیید تراکنش‌ها محدود نیست، بلکه از چندین آسیب‌پذیری iOS سوءاستفاده می‌کند تا جاسوس‌افزاری نصب کند که می‌تواند برنامه‌های کیف پول نصب‌شده را شناسایی کند، داده‌های خصوصی را جمع‌آوری کند و فرمان‌های راه دور را اجرا کند. از آنجا که مهاجمان می‌توانند اعتبارنامه‌ها و عبارات بازیابی را بی‌صدا به دست آورند، موجودی کیف پول‌های داغ یا دستگاه‌های آلوده ممکن است بدون نمایش هیچ پیام هشدار روی صفحه تخلیه شود.

مرور فنی: شش آسیب‌پذیری و چند خانواده بدافزاری

گروه اطلاعات تهدیدات Google در ۱۸ مارس زنجیره اکسپلویت زیرساختی را مستند کرد و نشان داد که این حمله از شش نقص جداگانه iOS برای آلوده‌سازی دستگاه‌های دارای iOS نسخه ۱۸.۴ تا ۱۸.۷ استفاده می‌کرد. مهاجمان با زنجیره‌کردن این آسیب‌پذیری‌ها می‌توانستند کنترل دستگاه را به دست بگیرند و مؤلفه‌های بدافزاری را به‌صورت پایدار نصب کنند تا اطلاعات حساس استخراج شود.

Google سه خانواده بدافزاری مرتبط را مشاهده کرد که پس از بهره‌برداری موفق ارسال می‌شدند: GHOSTBLADE، GHOSTKNIFE و GHOSTSABER. قابلیت‌های آن‌ها از جمع‌آوری غیرفعال داده تا عملکرد فرمان‌دهی و کنترل از راه دور متفاوت بود. به‌طور خاص، GHOSTBLADE در حال جمع‌آوری داده‌های کیف پول رمزارزی، کی‌چین‌های دستگاه، تاریخچه پیام‌ها، اطلاعات مرورگر، Apple Notes و رسانه‌های شخصی مشاهده شد. داده‌های تله‌متری کارزارها، عملیات علیه اهدافی در عربستان سعودی، ترکیه، مالزی و اوکراین را نشان می‌داد و بیانگر نقش فروشندگان تجاری ابزارهای نظارتی و احتمالا اپراتورهای وابسته به دولت‌ها بود.

وضعیت وصله‌ها و نسخه‌های آسیب‌پذیر iOS

Google اعلام کرد آسیب‌پذیری‌ها را به Apple گزارش داده و وصله‌ها تا iOS 26.3 منتشر شده‌اند، در حالی که بسیاری از اصلاحات زودتر در دسترس قرار گرفته بودند. با این حال، دستگاه‌هایی که همچنان روی نسخه‌های قدیمی‌تر iOS باقی مانده‌اند، به‌ویژه iOS 18.4 تا 18.7، تا زمان به‌روزرسانی آسیب‌پذیر هستند. کاربرانی که نمی‌توانند فورا به‌روزرسانی کنند باید فرض کنند هر نوع داده حساس ذخیره‌شده روی دستگاه در معرض خطر است و اقدامات حفاظتی لازم را انجام دهند.

P7 DarkSword: گونه‌ای پیشرفته‌تر از جاسوس‌افزار با کنترل از راه دور

شرکت مستقل امنیت موبایل iVerify در گزارشی در ۸ اکتبر، پس از بررسی آلودگی روی دستگاه یکی از مشتریان، گونه‌ای پیشرفته‌تر با نام مستعار P7 را افشا کرد. P7 ردپای جرم‌شناسی دیجیتال خود را کاهش می‌دهد، پایداری را بهبود می‌بخشد و ارتباط دوطرفه با زیرساخت تحت کنترل مهاجم را پیاده‌سازی می‌کند. این ایمپلنت بخشی از ثبت رخدادها را حذف کرده، تزریق فرایندها را کاهش داده و از فضای ذخیره‌سازی مرورگر برای دشوارتر کردن بهره‌برداری‌های تکراری استفاده کرده است.

P7 شامل فرمان‌هایی برای فهرست‌کردن برنامه‌های کیف پول نصب‌شده و استخراج داده‌های اختصاصی کیف پول بود، پژوهشگران imToken را به‌عنوان یکی از اهداف ذکر کردند. این ایمپلنت همچنین می‌توانست Apple Notes، عکس‌ها، داده‌های برنامه‌ها و فراداده‌های دستگاه را جمع‌آوری کند. به‌طور پیش‌فرض، هر ۱۵ ثانیه برای دریافت دستورها با سرور خود ارتباط می‌گرفت، اما اپراتورها می‌توانستند این بازه زمانی را دوباره پیکربندی کنند. برخلاف گونه‌های قبلی که کل پایگاه‌های داده کی‌چین را برای پردازش از راه دور خارج می‌کردند، P7 محتوای کی‌چین را به‌صورت محلی تجزیه می‌کرد و سپس مجموعه داده کوچک‌تری را برای اپراتورها می‌فرستاد.

بدافزار چگونه به دستگاه‌ها می‌رسد: تبلیغات مخرب و دامنه‌های منقضی‌شده

روش‌های انتقالی که iVerify و Report URI مشاهده کردند شامل تبلیغات مخرب و یکپارچه‌سازی‌های وب ربوده‌شده بود که به هیچ کلیکی نیاز نداشت. در یک مورد، یک تبلیغ اینستاگرامی با موضوع جام جهانی، دستگاهی را زمانی آلوده کرد که کاربر صرفا در حال مرور فید خود بود. Report URI کارزاری به نام DeadTag را ردیابی کرد که از دامنه‌های منقضی‌شده سرویس‌های تحلیل و تبلیغات سوءاستفاده می‌کرد، دامنه‌هایی که مهاجمان دوباره ثبت کرده و برای هدایت یکپارچه‌سازی‌های تعبیه‌شده در هزاران سایت به کار می‌بردند.

بازرسان صدها دامنه دوباره‌ثبت‌شده را یافتند که در وب‌سایت‌های زیادی تعبیه شده بودند و برآورد کردند این شبکه مخرب می‌تواند ماهانه حدود ۱۳۵ میلیون بازدید دریافت کند. برخی صفحات فرود به‌طور خاص طوری طراحی شده بودند که هنگام بارگذاری محتوا روی دستگاه‌های آسیب‌پذیر، گونه‌های DarkSword را به‌صورت خودکار ارسال کنند و قربانیان برای آلوده‌شدن نیازی به لمس لینک نداشتند.

راهنمای کاربردی: چگونه از دارایی‌های رمزارزی و حساب‌ها محافظت کنیم

CertiK و دیگر پژوهشگران، اقدامات فوری و عملی زیر را برای کاربرانی که رمزارز یا اعتبارنامه‌های حساس حساب نگهداری می‌کنند توصیه می‌کنند:

• iOS را فورا به‌روزرسانی کنید: آخرین به‌روزرسانی‌های امنیتی iOS را از مسیر تنظیمات > عمومی > به‌روزرسانی نرم‌افزار نصب کنید.
• برای دستگاه‌های در معرض خطر، فرض را بر آلودگی بگذارید: اگر احتمال می‌دهید گوشی آلوده شده است، دارایی‌ها را به کیف پول جدیدی منتقل کنید که روی دستگاهی پاک و به‌روزشده ساخته شده باشد و هرگز از عبارت بازیابی قدیمی دوباره استفاده نکنید.
• عبارات بازیابی را از فضای ذخیره‌سازی دستگاه حذف کنید: عبارات بازیابی را در Photos، Notes، اسکرین‌شات‌ها یا برنامه‌های پیام‌رسان نگه ندارید.
• برای دارایی‌های بزرگ از کیف پول سخت‌افزاری استفاده کنید: تا حد امکان کلیدهای خصوصی را آفلاین نگه دارید تا ریسک کیف پول داغ کاهش یابد.
• برای کاربران پرخطر، Lockdown Mode را فعال کنید: Google و CertiK هر دو در شرایطی که به‌روزرسانی فوری ممکن نیست، استفاده از Lockdown Mode را توصیه کرده‌اند.
• رمزهای عبور و اعتبارنامه‌ها را تغییر دهید: iVerify توصیه کرده رمزهای عبور ذخیره‌شده در کی‌چین گوشی آسیب‌دیده تغییر کنند و حساب‌ها از نظر فعالیت‌های غیرعادی بررسی شوند.

جمع‌بندی نهایی برای جامعه رمزارز

DarkSword نشان می‌دهد اکسپلویت‌های مبتنی بر وب در iOS تا چه اندازه می‌توانند برای سرقت اعتبارنامه‌های رمزارزی قدرتمند باشند، آن هم بدون هیچ تعامل آشکاری با کیف پول. ترکیب تبلیغات مخرب، دامنه‌های دوباره‌ثبت‌شده و مسیر آلودگی با تعامل بسیار کم، این تهدید را برای کاربرانی که عبارات بازیابی یا نسخه‌های پشتیبان کیف پول را روی دستگاه‌های موبایل ذخیره می‌کنند بسیار جدی می‌سازد. قوی‌ترین دفاع‌ها شامل به‌روزرسانی به‌موقع iOS، پرهیز از لینک‌ها و تبلیغات ناشناس یا مشکوک، انتقال دارایی‌های قابل توجه به کیف پول سخت‌افزاری و ایجاد عبارات بازیابی جدید روی دستگاهی پاک و قابل اعتماد در صورت احتمال آلودگی است.

کاربران کیف پول‌های امانی یا سرویس‌های کیف پول شخص ثالث باید هشدارهای صرافی‌ها و ارائه‌دهندگان کیف پول را دنبال کنند و همه قابلیت‌های حفاظتی موجود حساب، مانند احراز هویت دومرحله‌ای، را فعال کنند. آگاه‌ماندن از افشاگری‌های مربوط به اکسپلویت‌ها از سوی Google، CertiK و پژوهشگران مستقل امنیتی حیاتی است، زیرا مهاجمان پیوسته روش‌های خود را تکامل می‌دهند و شیوه‌های امنیت کیف پول نیز باید همگام با آن‌ها پیشرفت کند.