DarkSword-Malware zielt auf iOS und Krypto-Wallets ab

Ein geleaktes iOS-Exploit-Paket namens DarkSword hat sich zu einer voll funktionsfähigen Angriffsplattform entwickelt, die gezielt Krypto-Wallets leerräumt und sensible Nutzerdaten stiehlt. Das Sicherheitsunternehmen SlowMist hat die aktive Angriffsinfrastruktur analysiert und warnt, dass bereits das bloße Öffnen einer manipulierten Webseite in Safari ausreichen kann, um ein Gerät zu kompromittieren.

Kurz gefasst:

• Der geleakte DarkSword-Exploit-Code erschien im März 2026 auf GitHub und wurde im Juli zu einer vollständigen Angriffsplattform ausgebaut.
• Das Paket stiehlt Schlüsselbunddaten, Nachrichten und Krypto-Wallet-Daten und kann Wallets automatisch leerräumen.
• SlowMist rät, iOS aktuell zu halten und im Zweifel sofort eine neue Wallet auf einem nicht infizierten Gerät anzulegen.

Vom geleakten Code zur funktionierenden Angriffsplattform

Im März 2026 wurden die ersten DarkSword-Dateien auf GitHub veröffentlicht. Innerhalb weniger Tage folgten mehrere Repositories mit Exploit-Code, woraufhin der Chief Information Security Officer von SlowMist am 25. März öffentlich warnte, die Tools seien geleakt worden.

Im Juli tauchte auf GitHub eine erweiterte Version unter dem Namen DarkSword-PROV2 auf, die neben der Exploit-Kette auch ein Admin-Panel, einen Server und eine Datenbank enthielt. Ende September wurde die zugehörige Angriffsinfrastruktur nachweislich online aktiv. Domains, die mit dem Netzwerk verbunden sind, wechseln täglich ihre DNS-Einstellungen, um die Erkennung zu erschweren.

SlowMist analysierte die vollständige Angriffskette und kommt zu dem Schluss, dass öffentlich verfügbare Exploit-Komponenten zu einem fertigen Angriffs-Framework zusammengefügt wurden. Damit sei die Hürde für die Durchführung fortgeschrittener iOS-Angriffe deutlich gesunken, so das Sicherheitsunternehmen.

Krypto-Wallets und persönliche Daten im Visier

Das Toolkit verfügt über umfangreiche Möglichkeiten zur Datendiebstahl. Das Paket zielt auf Schlüsselbunddaten, Dateien, Nachrichten und Krypto-Wallet-Daten. Zudem kann es Wallet-Daten entschlüsseln und Guthaben automatisch an vom Angreifer kontrollierte Adressen weiterleiten. Bereits zuvor hatten Sicherheitsforscher beobachtet, wie Hacker gestohlene Krypto über Privacy-Coins waschen, ein Trend, der zeigt, dass Angreifer immer geschickter mit den Erträgen solcher Angriffe umgehen.

Obwohl das Toolkit angibt, iOS 13 und neuer zu unterstützen, zeigt die Code-Analyse von SlowMist, dass es in der Praxis zwei funktionierende Exploit-Fenster gibt: iOS 18.6 bis 18.7.2 und iOS 26.0 bis 26.1. Viele andere Versionsangaben im Code sind unvollständig oder nicht verifiziert.

SlowMist rät bei verdächtigen Seiten zu sofortigem Handeln

SlowMist empfiehlt Nutzern, iOS stets aktuell zu halten und keine unzuverlässigen Links zu öffnen. Ein Angriff kann bereits durch das Laden einer manipulierten Seite in Safari ausgelöst werden, ohne dass der Nutzer weiter interagieren muss.

Wer vermutet, dass sein Gerät eine verdächtige Seite besucht hat, muss davon ausgehen, dass Seed-Phrasen und private Schlüssel möglicherweise abgefangen wurden. SlowMist rät in diesem Fall, eine neue Wallet auf einem Gerät anzulegen, das die Seite nie besucht hat, die Guthaben dorthin zu übertragen und alle Chains auf verdächtige Transaktionen und Token-Genehmigungen zu prüfen. Unnötige Genehmigungen sollten widerrufen werden.