DarkSword 是一套完全基于 JavaScript 编写的一键式 iOS 攻击框架支持 iOS 18.4 至 18.7 版本通过六个安全漏洞实现从 Safari 远程代码执行到内核权限提升的完整入侵流程配套三个不同能力层级的恶意载荷家族可实现设备全量敏感数据窃取与远程控制。该工具包最早在 2025 年 11 月被谷歌威胁情报小组在野攻击中监测到截至 2026 年 3 月已确认被至少三个不同背景的威胁组织用于全球多地攻击活动。相关组织包括此前操控 Coruna 漏洞工具包疑似俄罗斯背景的间谍组织 UNC6353针对中东地区的攻击集群 UNC6748以及土耳其商业监控厂商 PARS Defense攻击目标覆盖乌克兰、沙特阿拉伯、土耳其、马来西亚等国家和地区。结合全球 iOS 版本市场份额数据测算该漏洞链直接影响全球约 14.2% 的 iPhone 用户对应设备规模约 2.2152 亿台。如果将范围扩大至 iOS 18 全系列未修复版本潜在受影响用户占比达到 17.3%对应设备规模约 2.7 亿台。该工具包的出现与快速扩散标志着国家级 iOS 漏洞利用能力已通过二级市场向商业监控厂商、网络犯罪团伙快速渗透基于合法网站攻陷的水坑攻击已成为移动端高风险的主流威胁向量。威胁发现与联合调查过程2026 年初Coruna iOS 漏洞工具包相关研究发布后Lookout 威胁实验室针对投放该恶意软件的威胁组织相关恶意基础设施启动了持续追踪分析。在分析与 UNC6353 组织相关联的 cdn [.] uacounter [.] com 域名时研究人员发现了一个命名、架构高度同源的恶意域名 cdncounter [.] net。该域名与原域名共享域名服务器、注册商、注册时间部分子域名的 IP 解析也存在明显重叠。通过威胁情报平台监测该域名的子域名 static [.] cdncounter [.] net 时研究人员发现该域名与两个被攻陷的乌克兰网站存在 JavaScript 代码关联分别是顿巴斯新闻社官网 novosti [.] dn [.] ua以及乌克兰第七行政上诉法院官网 7aac [.] gov [.] ua。其中 7aac [.] gov [.] ua 在此前曾被植入指向 cdn [.] uacounter [.] com 的恶意代码被用于投放 Coruna 恶意软件的水坑攻击。研究人员对两个被攻陷网站的源码展开深度分析在页面 HTML 中发现了指向 static [.] cdncounter [.] net 的活跃恶意 iframe以及用于生成该 iframe 的 JavaScript 代码。最初研究人员判断这可能是 Coruna 恶意软件的另一个投放渠道但深入分析后发现iframe 加载的核心文件为 rce_loader.js该脚本的核心功能是对访问网站的设备进行系统版本指纹识别仅针对 iOS 18.4 至 18.6.2 版本的设备分发漏洞利用代码而这些系统版本并不在 Coruna 漏洞的影响范围内。这一特征让研究人员确认这是一套此前未被披露的全新 iOS 漏洞利用工具包。同期iVerify 研究团队在野外环境中捕获了该工具包的完整攻击样本在本地环境中复现了全量入侵流程。谷歌威胁情报小组也确认其已于 2025 年 11 月首次监测到该威胁的野外利用活动。三方研究团队启动了联合调查共享了捕获的样本、基础设施情报与技术分析结果并将这套工具包正式命名为 DarkSword命名来源为植入代码中 WiFi 密码窃取模块的固定标签 DarkSword-WIFI-DUMP。DarkSword 中硬编码了 C2 域名泄露的数据会发送到 8881/8882 端口这两个端口托管着一个名为“DarkSword 文件接收器”的端点。该端点使用 BaseHTTPServer 以及其提供的 HTML 内容表明服务器端代码可能出于演示目的包含在 DarkSword 的销售中或者是由攻击者自行创建的。一些迹象表明DarkSword 基础设施的这一部分是在 LLM大模型的协助下创建的例如标题中的文件夹表情符号和勾号。攻击者似乎并未尝试对漏洞利用链或植入代码进行混淆以防止分析。这体现在 JavaScript 代码中存在大量注释和日志信息。模式分析表明至少部分植入代码的创建使用了 LLM低级逻辑模型。基于此UNC6353 可能缺乏移动漏洞利用方面的经验并可能依赖人工智能支持为购买的工具添加额外功能。或者这段代码可能是在攻击者获得该工具之前添加的。此次攻击活动与以往俄罗斯相关活动存在一些值得注意的重叠之处。2024年谷歌曾揭露了APT29利用水坑攻击入侵蒙古网站的行动。该行动利用了此前该组织使用的iOS和Android Nday漏洞并通过隐藏的iframe进行攻击。在调查过程中谷歌威胁情报小组已于 2025 年底向苹果公司完整上报了 DarkSword 利用的所有安全漏洞苹果在后续的系统版本更新中分批完成了漏洞修复所有相关漏洞均在 iOS 26.3 版本中完成全量修复。时间核心事件2025 年 7 月 29 日苹果在 iOS 18.6 版本中修复 CVE-2025-31277 漏洞该漏洞为 DarkSword 针对 iOS 18.4 版本使用的核心远程代码执行漏洞2025 年夏季谷歌威胁情报小组首次监测到 UNC6353 组织利用 Coruna 工具包针对乌克兰网站发起水坑攻击2025 年 11 月初谷歌威胁情报小组监测到 UNC6748 组织搭建仿 Snapchat 的钓鱼网站 snapshare [.] chat针对沙特阿拉伯用户发起 DarkSword 攻击初始版本仅支持 iOS 18.4 系统2025 年 11 月中旬UNC6748 组织更新攻击链新增对 iOS 18.6 版本的支持配套 CVE-2025-43529 漏洞的利用模块2025 年 11 月下旬UNC6748 组织新增对 iOS 18.7 版本的支持同期谷歌威胁情报小组监测到土耳其商业监控厂商 PARS Defense 在土耳其境内发起攻击实现对 iOS 18.4 至 18.7 全版本的适配2025 年 12 月苹果在 iOS 18.7.2 与 26.1 版本中修复 CVE-2025-43510 与 CVE-2025-43520 两个内核相关漏洞UNC6353 组织开始使用 DarkSword 针对乌克兰发起新的水坑攻击2025 年 12 月 12 日苹果在 iOS 18.7.3 与 26.2 版本中修复 CVE-2025-43529 与 CVE-2025-14174 两个漏洞2026 年 1 月谷歌威胁情报小组监测到 PARS Defense 的客户在马来西亚发起攻击新增严格的设备指纹识别与反分析逻辑2026 年 2 月 11 日苹果在 iOS 26.3 版本中修复 CVE-2026-20700 漏洞该漏洞为 DarkSword 全版本通用的 PAC 与 TPRO 防护绕过漏洞2026 年 2 月 12 日Lookout 研究人员监测到乌克兰一家食品加工企业的员工设备已被 DarkSword 成功入侵2026 年 3 月UNC6353 组织针对乌克兰的水坑攻击仍在持续谷歌威胁情报小组与乌克兰计算机应急响应小组合作完成了攻击缓解三方联合发布 DarkSword 完整研究报告攻击链技术原理与执行流程DarkSword 是一套全程基于 JavaScript 实现的全链攻击框架全程无需注入任何 Mach-O 格式的二进制文件能够规避苹果针对未签名代码设置的 PPL、SPTM 等核心防护机制。完整攻击流程分为七个核心环节各环节形成闭环技术细节如下。初始访问与载荷投放攻击者通过攻陷合法网站发起水坑攻击在网站首页 HTML 中嵌入不可见的恶意 iframe指向攻击载荷分发服务器。不同威胁组织的初始投放逻辑存在差异但核心框架保持一致。UNC6353 组织在被攻陷的乌克兰政府与新闻网站中植入尺寸为 1px×1px 的透明 iframe直接加载 static [.] cdncounter [.] net 的攻击载荷未设置复杂的环境校验规则仅通过 IP 地址限制仅向乌克兰地区的用户分发漏洞利用代码。UNC6748 组织搭建了仿 Snapchat 的钓鱼网站通过会话存储中的 uid 密钥实现重复感染防护非 iPhone 设备或非 Safari 浏览器访问时会被强制通过 x-safari-https 协议跳转至 Safari 浏览器打开页面。PARS Defense 组织在初始页面加入了严格的设备指纹识别规则覆盖 Apple Pay 支持情况、浏览器特性、WebGL2 支持状态、调试器检测等多个校验维度未通过校验的访问目标会被双重重定向至合法网站大幅降低了非目标设备的攻击暴露风险。所有攻击入口的最终目标都是加载 rce_loader.js 文件。该文件是 DarkSword 的漏洞加载器核心功能是识别设备的 iOS 系统版本匹配并加载对应版本的远程代码执行漏洞利用模块。Safari 渲染进程远程代码执行漏洞加载器会根据设备的 iOS 版本加载对应的漏洞利用模块通过两个 JavaScriptCore 引擎的 JIT 相关漏洞实现 Safari WebContent 渲染进程的远程代码执行。针对 iOS 18.4 与 18.5 版本攻击者利用 CVE-2025-31277 漏洞。该漏洞为 JavaScriptCore 引擎中JIT 正则表达式匹配逻辑引发的类型混淆漏洞。漏洞根因在于正则匹配结果数组在全局对象进入异常状态时仍错误创建 Contiguous 类型数组导致断言失效与内存损坏。攻击者通过该漏洞构建内存地址伪造与读取原语再扩展为任意内存读写原语。该漏洞已在 WebKit 官方提交的 716536c 版本中完成修复。针对 iOS 18.6 至 18.7 版本攻击者利用 CVE-2025-43529 漏洞。该漏洞为 JavaScriptCore 引擎数据流图 JIT 层的写屏障缺失漏洞。漏洞根因在于StoreBarrierInsertionPhase 阶段的逃逸分析仅标记了 Phi 节点本身未标记通过 Upsilon 传入 Phi 节点的所有传递性值导致垃圾回收机制运行异常引发内存释放后重用与类型混淆问题。该漏洞已在 WebKit 官方提交的 b21a503 版本中完成修复。用户态防护机制绕过两个远程代码执行漏洞均配套了 CVE-2026-20700 漏洞的利用代码实现对苹果指针认证码与可信路径只读防护机制的绕过。该漏洞根因在于 dyld 的 dlopen_from 函数中加载器相关的向量数据被存储在常规栈内存而非持久化分配器中。攻击者可滥用栈上可写的 dyld 敏感内部结构绕过指针签名校验与内存保护机制最终在 WebContent 进程中实现任意代码执行全程无需注入未签名的二进制文件。该漏洞已在 dyld 开源项目提交的 9b3c6bde 版本中完成修复。首次沙箱逃逸WebContent 进程至 GPU 进程突破攻击者利用 CVE-2025-14174 漏洞从权限严格隔离的 WebContent 渲染进程突破至 Safari GPU 进程。该漏洞为 ANGLE 组件的参数校验缺失漏洞ANGLE 是 OpenGL ES 的适配层组件该漏洞在特定 WebGL 操作中未对输入参数做充分校验导致 GPU 进程中出现越界内存写入。攻击者结合此前的防护绕过技术在 GPU 进程中构建任意内存读写与函数调用原语完成第一次沙箱环境突破。二次沙箱逃逸GPU 进程至系统守护进程突破攻击者利用 CVE-2025-43510 漏洞从 GPU 进程突破至 mediaplaybackd 系统守护进程。该漏洞为 XNU 内核的写时复制机制漏洞攻击者通过 AppleM2ScalerCSCDriver 驱动的 1 号选择器触发漏洞借助系统暴露的 XPC 接口在 mediaplaybackd 进程中构建任意函数调用原语。该进程拥有比 GPU 进程更高的系统权限为后续的内核权限提升奠定了基础。内核权限提升实现设备完全控制攻击者在 mediaplaybackd 进程中加载 JavaScriptCore 运行时执行 pe_main.js 提权模块利用 CVE-2025-43520 漏洞实现内核权限提升。该漏洞为 XNU 虚拟文件系统实现中的内核态竞争条件漏洞攻击者利用该漏洞构建物理内存与虚拟内存的全量读写原语最终实现内核态任意代码执行获取设备的完全控制权。载荷注入与数据窃取完成内核权限提升后pe_main.js 会作为恶意载荷的调度器将 JavaScriptCore 框架与定制化的恶意载荷注入多个系统核心进程包括 SpringBoard、configd、wifid、securityd、UserEventAgent 等。各注入的载荷完成对应敏感数据的采集与暂存后由 SpringBoard 中的最终载荷将全量采集的数据上传至攻击者的命令控制服务器。数据外传完成后载荷会执行攻击痕迹清理随后攻击进程干净退出无持久化残留。相关威胁组织活动与画像DarkSword 工具包已在多个威胁组织之间完成扩散不同组织均基于原生框架进行了定制化修改适配各自的攻击目标与运营需求。核心威胁组织的活动情况与画像如下。UNC6353 组织UNC6353 是 DarkSword 工具包的主要使用者也是此前 Coruna 漏洞工具包的核心操控者。综合多维度情报分析该组织被评估为资金充足、资源渠道广泛但技术成熟度较低的威胁主体攻击目标同时覆盖经济获利与和俄罗斯情报需求对齐的间谍活动大概率为俄罗斯背景的私掠组织或犯罪代理团伙。俄文注释该组织的核心攻击目标为乌克兰地区的政府机构、媒体、企业与个人用户所有攻击活动均通过攻陷乌克兰本土的合法网站发起水坑攻击。其使用的 DarkSword 版本为原生框架代码全程未做混淆处理保留了完整的调试日志与开发注释漏洞加载器的逻辑严谨可精准匹配 iOS 18.4 与 18.6 版本的对应漏洞利用模块未出现其他组织版本中的逻辑缺陷。该组织的运营安全存在明显缺陷恶意代码未做混淆恶意 iframe 的 HTML 代码无任何隐藏处理命令控制接收端的设计简陋且命名直白。有明显迹象表明该组织缺乏移动端漏洞利用的一线开发经验部分植入代码存在借助大语言模型开发的特征大概率是从第三方渠道购买了完整的漏洞工具包仅做了少量适配修改。UNC6748 组织UNC6748 是针对中东地区的定向攻击集群核心攻击目标为沙特阿拉伯地区的 Snapchat 用户。该组织的攻击活动迭代速度快但代码逻辑存在严重的兼容性缺陷反分析能力在攻击过程中逐步提升目前未发现其拥有针对 Chrome 浏览器的攻击链。该组织最早在 2025 年 11 月初发起攻击初始版本仅支持 iOS 18.4 系统后续逐步新增了 iOS 18.6 与 18.7 版本的支持。但漏洞加载器的分支逻辑存在严重错误非 18.6 版本的设备无法正确加载 18.4 版本的漏洞利用模块新增 18.7 版本支持后加载器会无视设备系统版本强制加载 18.7 版本的漏洞利用模块整体兼容性极差。攻击成功后该组织会部署名为 GHOSTKNIFE 的全功能 JavaScript 后门程序实现对目标设备的长期远程控制与数据窃取。PARS DefensePARS Defense 是土耳其的商业监控厂商其发起的攻击活动运营安全水平显著高于其他两个组织。该组织最早在 2025 年 11 月下旬在土耳其境内发起攻击后续其客户在 2026 年 1 月于马来西亚发起了同类攻击。该组织使用的 DarkSword 版本对加载器和漏洞利用模块进行了高强度混淆处理采用 ECDH 密钥协商与 AES 加密的方式传输攻击载荷避免明文泄露。漏洞加载器的逻辑完善可根据设备的 iOS 版本精准匹配对应的漏洞利用模块无兼容性缺陷。2026 年马来西亚的攻击活动中还新增了严格的设备指纹识别逻辑反分析与目标精准度能力极强。攻击成功后该组织会部署名为 GHOSTSABER 的模块化 JavaScript 后门程序支持灵活的功能扩展与定制化攻击需求。恶意载荷功能与数据窃取范围DarkSword 工具包配套三个不同能力的恶意载荷家族均为纯 JavaScript 实现无持久化机制攻击完成后会清理痕迹并退出。三个载荷的功能与定位各有差异详细情况如下。GHOSTBLADE 载荷GHOSTBLADE 是 DarkSword 原生开发的标准载荷由 UNC6353 组织使用定位为轻量化定向数据窃取程序无远程控制后门能力。该载荷的核心功能是覆盖七大类核心隐私数据的采集与外传包括 iMessage、Telegram、WhatsApp 的全量聊天数据设备钥匙串与密钥包WiFi 密码位置历史记录照片元数据加密货币钱包文件Safari 浏览历史、书签与 Cookie 数据以及设备健康数据库等内容与 DarkSword 工具包原生设计的窃取范围完全一致。数据外传完成后该载荷仅会删除 osanalytics 目录下的诊断报告未清理系统主崩溃日志目录痕迹清理能力较弱。代码未做混淆保留了完整的调试日志与开发注释基于 Webpack 打包的代码中保留了完整的源码文件路径暴露了 DarkSword 工具包的完整代码库结构。GHOSTKNIFE 载荷GHOSTKNIFE 是 UNC6748 组织定制开发的全功能远程控制后门程序。该载荷的核心功能包括全量隐私数据窃取覆盖已登录账户、短信与社交软件消息、浏览器数据、位置历史、录音、照片与文件等内容。同时具备完整的远程控制能力支持从命令控制服务器下载文件、设备截屏、麦克风实时录音、执行任意代码还可从服务端获取新参数实时调整攻击配置。通信层面该载荷基于 HTTP 协议的自定义二进制协议与服务端通信采用 ECDH 密钥协商与 AES 加密保障通信安全。痕迹清理方面会定期删除 CrashReporter 目录下mediaplaybackd、SpringBoard、WebKit 相关进程的崩溃日志与内核恐慌日志掩盖攻击痕迹。存储层面会在 tmp 目录下创建基于随机 UUID 的专属目录分模块存储窃取的数据完成回传后自动清理临时文件。GHOSTSABER 载荷GHOSTSABER 是 PARS Defense 定制开发的模块化可扩展后门程序。该载荷的基础功能包括设备信息枚举、已登录账户与已安装应用列表采集、文件系统递归枚举、定向数据窃取、任意 SQLite 数据库查询、照片缩略图批量窃取、指定应用与文件全量上传、正则匹配批量文件窃取以及任意 JavaScript 代码执行可动态扩展攻击功能。载荷中包含地理位置上报、截屏、WiFi 信息窃取、麦克风录音等命令的引用但未实现对应代码同时预留了共享内存通信接口疑似支持后续从命令控制服务器下载二进制模块扩展攻击能力。通信层面基于 HTTP 与 HTTPS 协议与服务端通信。核心数据窃取范围三个载荷均覆盖了设备全量敏感数据的窃取能力核心采集范围包括通信与社交数据包括 SMS 与 iMessage 数据库、通话记录、联系人数据库、Telegram 与 WhatsApp 全量聊天记录、媒体文件与联系人数据系统与网络数据包括 WiFi 配置文件、已知 WiFi 网络与密码、Safari 历史记录、书签、Cookie、浏览器状态数据、设备唯一标识符、SIM 卡信息、蜂窝网络数据、系统配置文件用户隐私数据包括位置历史记录、备忘录、日历、照片元数据、健康数据库、账户信息、邮件索引数据、已安装应用列表系统核心密钥数据包括钥匙串数据库、设备各类密钥包可实现设备权限的完全接管加密货币钱包数据覆盖主流交易平台、硬件钱包配套应用、多链与单链钱包的数十款应用可窃取钱包私钥、助记词与交易数据。受影响范围与风险评估直接受影响的系统版本DarkSword 工具包的原生配置覆盖 iOS 18.4 至 18.6.2 版本PARS Defense 的定制版本已扩展支持 iOS 18.7 版本。所有相关漏洞均已在 iOS 18.7.2、18.7.3、18.7.6以及 iOS 26.1、26.2、26.3、26.3.1 版本中完成修复。运行最新系统版本的设备不受该威胁及其利用的漏洞影响。全球受影响设备规模结合 StatCounter 2026 年 2 月的全球 iOS 版本市场份额数据测算iOS 18.4 至 18.6.2 版本的全球用户占比约 14.2%对应受影响设备规模约 2.2152 亿台。结合 TelemetryDeck 2026 年 2 月的调查数据iOS 18 全系列版本的全球占比为 18.99%扣除已修复的 iOS 18.7.x 版本后约 17.3% 的 iPhone 用户仍处于受影响范围对应设备规模约 2.7 亿台。潜在风险扩展目前无证据表明该漏洞链的相关漏洞被用于攻击 iOS 26 版本的设备但无法排除攻击者对漏洞进行适配实现跨版本利用的可能性。同时若漏洞可向下兼容 iOS 18.4 以下版本受影响设备规模将进一步扩大。该工具包的代码可复用性极强极易被其他威胁组织改造用于新的攻击活动。其纯 JavaScript 的实现方式规避了苹果针对未签名二进制代码的多重防护机制未来此类攻击模式将成为 iOS 平台攻击的主流方向。检测方法与失陷指标DarkSword 无独立的植入进程仅通过系统原生进程执行恶意代码传统杀毒软件难以检测可通过以下方式进行排查。网络层失陷指标指标内容关联威胁组织用途snapshare[.]chatUNC6748沙特阿拉伯攻击活动诱饵站点62[.]72[.]21[.]10UNC6748GHOSTKNIFE 命令控制服务器72[.]60[.]98[.]48UNC6748GHOSTKNIFE 命令控制服务器sahibndn[.]ioPARS Defense土耳其攻击活动载荷分发站点e5[.]malaymoil[.]comPARS Defense马来西亚攻击活动载荷分发站点static[.]cdncounter[.]netUNC6353乌克兰水坑攻击载荷分发服务器cdn[.]cdncounter[.]netUNC6353攻击基础设施关联域名count[.]cdncounter[.]netUNC6353攻击基础设施关联域名sqwas[.]shapelie[.]comUNC6353GHOSTBLADE 数据回传命令控制服务器141[.]105[.]130[.]237UNC63532025 年 12 月 22 日至 2026 年 3 月 17 日活跃的攻击服务器恶意文件特征设备中出现以下文件名可作为感染的辅助判断依据rce_loader.js、rce_module.js、rce_worker_18.4.js、rce_worker_18.6.js、sbx0_main_18.4.js、sbx1_main.js、pe_main.js。文件系统失陷指标设备中出现以下路径的文件可判定为已被感染/private/var/tmp/keychain_dump.txt钥匙串明文导出文件/private/var/tmp/keychain-2.db钥匙串数据库副本/private/var/tmp 目录下的各类 kb 后缀密钥包副本/private/var/tmp/wifi_passwords.txtWiFi 密码明文导出文件/private/var/tmp/wifi_passwords_securityd.txt备用路径 WiFi 密码导出文件/private/var/tmp/icloud_dump/ 目录iCloud 数据导出目录。日志检测特征系统统一日志中出现包含 CHAIN、MAIN、DarkSword-WIFI-DUMP 等标签的日志且来源为 mediaplaybackd 进程可判定为已被感染。设备短时间内出现大量 WebContent、GPU 进程的崩溃记录或 mediaplaybackd 进程出现异常网络流量也需高度警惕感染风险。YARA 检测规则报告配套提供了四个 YARA 检测规则分别覆盖 GHOSTKNIFE、GHOSTSABER、GHOSTBLADE 载荷以及 DarkSword 植入库的特征检测可用于终端威胁扫描与流量分析。缓解措施与安全建议个人用户防护建议立即将 iOS 系统升级至最新版本。所有受影响用户需升级至 iOS 18.7.6 或 iOS 26.3.1 版本苹果已在上述版本中修复了 DarkSword 利用的所有六个安全漏洞这是最核心的缓解措施。整体情况报告DarkSword的扩散iOS漏洞利用链被多个威胁行为者采用https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain信息补充报告使用暗剑的攻击者威胁 iOS 用户https://www.lookout.com/threat-intelligence/article/darksword关于该工具包攻击IOS系统的详细入侵痕迹报告DarkSword内幕一款通过被入侵的合法网站传播的新型iOS漏洞利用工具包https://iverify.io/blog/darksword-ios-exploit-kit-explained相关目录存在窃取数据痕迹/private/var/Keychains//private/var/keybags//private/var/tmp//private/var/run//private/var/db//private/var/root/private/var/log//private/var/wireless/其中最明显的特征为Log Messagemediaplaybackd[] Running on non-A18 Devices[] read_fd: 0x000000000000000a[] write_fd: 0x000000000000000c[] free_thread_arg: 0x0000000cf1568000[] physical_mapping_address: 0x0000000107454000[] pc_object: 0x000000000000e727[] pc_address: 0x000000037cae8000[] Hello from: 0x00000000000056c7[] target corrupted: 0xffffffe1b4d98548Log Messagemediaplaybackd[CHAIN] ..[MAIN] ..[DRIVER-NEWTHREAD] …[MIG_FILTER_BYPASS] …[OFFSETS] …[TASKROP] …[TASK] …[DarkSword-WIFI-DUMP] ..[DarkSword-WIFI-DUMP-SECURITYD] ...黑鸟整理部分IOS系统被攻击痕迹规则如下https://github.com/blackorbird/APT_REPORT/tree/master/exploit_report/IOS/detect
通过攻陷合法网站传播的新型iOS漏洞利用工具包DarkSword
发布时间：2026/7/23 22:55:13
DarkSword 是一套完全基于 JavaScript 编写的一键式 iOS 攻击框架支持 iOS 18.4 至 18.7 版本通过六个安全漏洞实现从 Safari 远程代码执行到内核权限提升的完整入侵流程配套三个不同能力层级的恶意载荷家族可实现设备全量敏感数据窃取与远程控制。该工具包最早在 2025 年 11 月被谷歌威胁情报小组在野攻击中监测到截至 2026 年 3 月已确认被至少三个不同背景的威胁组织用于全球多地攻击活动。相关组织包括此前操控 Coruna 漏洞工具包疑似俄罗斯背景的间谍组织 UNC6353针对中东地区的攻击集群 UNC6748以及土耳其商业监控厂商 PARS Defense攻击目标覆盖乌克兰、沙特阿拉伯、土耳其、马来西亚等国家和地区。结合全球 iOS 版本市场份额数据测算该漏洞链直接影响全球约 14.2% 的 iPhone 用户对应设备规模约 2.2152 亿台。如果将范围扩大至 iOS 18 全系列未修复版本潜在受影响用户占比达到 17.3%对应设备规模约 2.7 亿台。该工具包的出现与快速扩散标志着国家级 iOS 漏洞利用能力已通过二级市场向商业监控厂商、网络犯罪团伙快速渗透基于合法网站攻陷的水坑攻击已成为移动端高风险的主流威胁向量。威胁发现与联合调查过程2026 年初Coruna iOS 漏洞工具包相关研究发布后Lookout 威胁实验室针对投放该恶意软件的威胁组织相关恶意基础设施启动了持续追踪分析。在分析与 UNC6353 组织相关联的 cdn [.] uacounter [.] com 域名时研究人员发现了一个命名、架构高度同源的恶意域名 cdncounter [.] net。该域名与原域名共享域名服务器、注册商、注册时间部分子域名的 IP 解析也存在明显重叠。通过威胁情报平台监测该域名的子域名 static [.] cdncounter [.] net 时研究人员发现该域名与两个被攻陷的乌克兰网站存在 JavaScript 代码关联分别是顿巴斯新闻社官网 novosti [.] dn [.] ua以及乌克兰第七行政上诉法院官网 7aac [.] gov [.] ua。其中 7aac [.] gov [.] ua 在此前曾被植入指向 cdn [.] uacounter [.] com 的恶意代码被用于投放 Coruna 恶意软件的水坑攻击。研究人员对两个被攻陷网站的源码展开深度分析在页面 HTML 中发现了指向 static [.] cdncounter [.] net 的活跃恶意 iframe以及用于生成该 iframe 的 JavaScript 代码。最初研究人员判断这可能是 Coruna 恶意软件的另一个投放渠道但深入分析后发现iframe 加载的核心文件为 rce_loader.js该脚本的核心功能是对访问网站的设备进行系统版本指纹识别仅针对 iOS 18.4 至 18.6.2 版本的设备分发漏洞利用代码而这些系统版本并不在 Coruna 漏洞的影响范围内。这一特征让研究人员确认这是一套此前未被披露的全新 iOS 漏洞利用工具包。同期iVerify 研究团队在野外环境中捕获了该工具包的完整攻击样本在本地环境中复现了全量入侵流程。谷歌威胁情报小组也确认其已于 2025 年 11 月首次监测到该威胁的野外利用活动。三方研究团队启动了联合调查共享了捕获的样本、基础设施情报与技术分析结果并将这套工具包正式命名为 DarkSword命名来源为植入代码中 WiFi 密码窃取模块的固定标签 DarkSword-WIFI-DUMP。DarkSword 中硬编码了 C2 域名泄露的数据会发送到 8881/8882 端口这两个端口托管着一个名为“DarkSword 文件接收器”的端点。该端点使用 BaseHTTPServer 以及其提供的 HTML 内容表明服务器端代码可能出于演示目的包含在 DarkSword 的销售中或者是由攻击者自行创建的。一些迹象表明DarkSword 基础设施的这一部分是在 LLM大模型的协助下创建的例如标题中的文件夹表情符号和勾号。攻击者似乎并未尝试对漏洞利用链或植入代码进行混淆以防止分析。这体现在 JavaScript 代码中存在大量注释和日志信息。模式分析表明至少部分植入代码的创建使用了 LLM低级逻辑模型。基于此UNC6353 可能缺乏移动漏洞利用方面的经验并可能依赖人工智能支持为购买的工具添加额外功能。或者这段代码可能是在攻击者获得该工具之前添加的。此次攻击活动与以往俄罗斯相关活动存在一些值得注意的重叠之处。2024年谷歌曾揭露了APT29利用水坑攻击入侵蒙古网站的行动。该行动利用了此前该组织使用的iOS和Android Nday漏洞并通过隐藏的iframe进行攻击。在调查过程中谷歌威胁情报小组已于 2025 年底向苹果公司完整上报了 DarkSword 利用的所有安全漏洞苹果在后续的系统版本更新中分批完成了漏洞修复所有相关漏洞均在 iOS 26.3 版本中完成全量修复。时间核心事件2025 年 7 月 29 日苹果在 iOS 18.6 版本中修复 CVE-2025-31277 漏洞该漏洞为 DarkSword 针对 iOS 18.4 版本使用的核心远程代码执行漏洞2025 年夏季谷歌威胁情报小组首次监测到 UNC6353 组织利用 Coruna 工具包针对乌克兰网站发起水坑攻击2025 年 11 月初谷歌威胁情报小组监测到 UNC6748 组织搭建仿 Snapchat 的钓鱼网站 snapshare [.] chat针对沙特阿拉伯用户发起 DarkSword 攻击初始版本仅支持 iOS 18.4 系统2025 年 11 月中旬UNC6748 组织更新攻击链新增对 iOS 18.6 版本的支持配套 CVE-2025-43529 漏洞的利用模块2025 年 11 月下旬UNC6748 组织新增对 iOS 18.7 版本的支持同期谷歌威胁情报小组监测到土耳其商业监控厂商 PARS Defense 在土耳其境内发起攻击实现对 iOS 18.4 至 18.7 全版本的适配2025 年 12 月苹果在 iOS 18.7.2 与 26.1 版本中修复 CVE-2025-43510 与 CVE-2025-43520 两个内核相关漏洞UNC6353 组织开始使用 DarkSword 针对乌克兰发起新的水坑攻击2025 年 12 月 12 日苹果在 iOS 18.7.3 与 26.2 版本中修复 CVE-2025-43529 与 CVE-2025-14174 两个漏洞2026 年 1 月谷歌威胁情报小组监测到 PARS Defense 的客户在马来西亚发起攻击新增严格的设备指纹识别与反分析逻辑2026 年 2 月 11 日苹果在 iOS 26.3 版本中修复 CVE-2026-20700 漏洞该漏洞为 DarkSword 全版本通用的 PAC 与 TPRO 防护绕过漏洞2026 年 2 月 12 日Lookout 研究人员监测到乌克兰一家食品加工企业的员工设备已被 DarkSword 成功入侵2026 年 3 月UNC6353 组织针对乌克兰的水坑攻击仍在持续谷歌威胁情报小组与乌克兰计算机应急响应小组合作完成了攻击缓解三方联合发布 DarkSword 完整研究报告攻击链技术原理与执行流程DarkSword 是一套全程基于 JavaScript 实现的全链攻击框架全程无需注入任何 Mach-O 格式的二进制文件能够规避苹果针对未签名代码设置的 PPL、SPTM 等核心防护机制。完整攻击流程分为七个核心环节各环节形成闭环技术细节如下。初始访问与载荷投放攻击者通过攻陷合法网站发起水坑攻击在网站首页 HTML 中嵌入不可见的恶意 iframe指向攻击载荷分发服务器。不同威胁组织的初始投放逻辑存在差异但核心框架保持一致。UNC6353 组织在被攻陷的乌克兰政府与新闻网站中植入尺寸为 1px×1px 的透明 iframe直接加载 static [.] cdncounter [.] net 的攻击载荷未设置复杂的环境校验规则仅通过 IP 地址限制仅向乌克兰地区的用户分发漏洞利用代码。UNC6748 组织搭建了仿 Snapchat 的钓鱼网站通过会话存储中的 uid 密钥实现重复感染防护非 iPhone 设备或非 Safari 浏览器访问时会被强制通过 x-safari-https 协议跳转至 Safari 浏览器打开页面。PARS Defense 组织在初始页面加入了严格的设备指纹识别规则覆盖 Apple Pay 支持情况、浏览器特性、WebGL2 支持状态、调试器检测等多个校验维度未通过校验的访问目标会被双重重定向至合法网站大幅降低了非目标设备的攻击暴露风险。所有攻击入口的最终目标都是加载 rce_loader.js 文件。该文件是 DarkSword 的漏洞加载器核心功能是识别设备的 iOS 系统版本匹配并加载对应版本的远程代码执行漏洞利用模块。Safari 渲染进程远程代码执行漏洞加载器会根据设备的 iOS 版本加载对应的漏洞利用模块通过两个 JavaScriptCore 引擎的 JIT 相关漏洞实现 Safari WebContent 渲染进程的远程代码执行。针对 iOS 18.4 与 18.5 版本攻击者利用 CVE-2025-31277 漏洞。该漏洞为 JavaScriptCore 引擎中JIT 正则表达式匹配逻辑引发的类型混淆漏洞。漏洞根因在于正则匹配结果数组在全局对象进入异常状态时仍错误创建 Contiguous 类型数组导致断言失效与内存损坏。攻击者通过该漏洞构建内存地址伪造与读取原语再扩展为任意内存读写原语。该漏洞已在 WebKit 官方提交的 716536c 版本中完成修复。针对 iOS 18.6 至 18.7 版本攻击者利用 CVE-2025-43529 漏洞。该漏洞为 JavaScriptCore 引擎数据流图 JIT 层的写屏障缺失漏洞。漏洞根因在于StoreBarrierInsertionPhase 阶段的逃逸分析仅标记了 Phi 节点本身未标记通过 Upsilon 传入 Phi 节点的所有传递性值导致垃圾回收机制运行异常引发内存释放后重用与类型混淆问题。该漏洞已在 WebKit 官方提交的 b21a503 版本中完成修复。用户态防护机制绕过两个远程代码执行漏洞均配套了 CVE-2026-20700 漏洞的利用代码实现对苹果指针认证码与可信路径只读防护机制的绕过。该漏洞根因在于 dyld 的 dlopen_from 函数中加载器相关的向量数据被存储在常规栈内存而非持久化分配器中。攻击者可滥用栈上可写的 dyld 敏感内部结构绕过指针签名校验与内存保护机制最终在 WebContent 进程中实现任意代码执行全程无需注入未签名的二进制文件。该漏洞已在 dyld 开源项目提交的 9b3c6bde 版本中完成修复。首次沙箱逃逸WebContent 进程至 GPU 进程突破攻击者利用 CVE-2025-14174 漏洞从权限严格隔离的 WebContent 渲染进程突破至 Safari GPU 进程。该漏洞为 ANGLE 组件的参数校验缺失漏洞ANGLE 是 OpenGL ES 的适配层组件该漏洞在特定 WebGL 操作中未对输入参数做充分校验导致 GPU 进程中出现越界内存写入。攻击者结合此前的防护绕过技术在 GPU 进程中构建任意内存读写与函数调用原语完成第一次沙箱环境突破。二次沙箱逃逸GPU 进程至系统守护进程突破攻击者利用 CVE-2025-43510 漏洞从 GPU 进程突破至 mediaplaybackd 系统守护进程。该漏洞为 XNU 内核的写时复制机制漏洞攻击者通过 AppleM2ScalerCSCDriver 驱动的 1 号选择器触发漏洞借助系统暴露的 XPC 接口在 mediaplaybackd 进程中构建任意函数调用原语。该进程拥有比 GPU 进程更高的系统权限为后续的内核权限提升奠定了基础。内核权限提升实现设备完全控制攻击者在 mediaplaybackd 进程中加载 JavaScriptCore 运行时执行 pe_main.js 提权模块利用 CVE-2025-43520 漏洞实现内核权限提升。该漏洞为 XNU 虚拟文件系统实现中的内核态竞争条件漏洞攻击者利用该漏洞构建物理内存与虚拟内存的全量读写原语最终实现内核态任意代码执行获取设备的完全控制权。载荷注入与数据窃取完成内核权限提升后pe_main.js 会作为恶意载荷的调度器将 JavaScriptCore 框架与定制化的恶意载荷注入多个系统核心进程包括 SpringBoard、configd、wifid、securityd、UserEventAgent 等。各注入的载荷完成对应敏感数据的采集与暂存后由 SpringBoard 中的最终载荷将全量采集的数据上传至攻击者的命令控制服务器。数据外传完成后载荷会执行攻击痕迹清理随后攻击进程干净退出无持久化残留。相关威胁组织活动与画像DarkSword 工具包已在多个威胁组织之间完成扩散不同组织均基于原生框架进行了定制化修改适配各自的攻击目标与运营需求。核心威胁组织的活动情况与画像如下。UNC6353 组织UNC6353 是 DarkSword 工具包的主要使用者也是此前 Coruna 漏洞工具包的核心操控者。综合多维度情报分析该组织被评估为资金充足、资源渠道广泛但技术成熟度较低的威胁主体攻击目标同时覆盖经济获利与和俄罗斯情报需求对齐的间谍活动大概率为俄罗斯背景的私掠组织或犯罪代理团伙。俄文注释该组织的核心攻击目标为乌克兰地区的政府机构、媒体、企业与个人用户所有攻击活动均通过攻陷乌克兰本土的合法网站发起水坑攻击。其使用的 DarkSword 版本为原生框架代码全程未做混淆处理保留了完整的调试日志与开发注释漏洞加载器的逻辑严谨可精准匹配 iOS 18.4 与 18.6 版本的对应漏洞利用模块未出现其他组织版本中的逻辑缺陷。该组织的运营安全存在明显缺陷恶意代码未做混淆恶意 iframe 的 HTML 代码无任何隐藏处理命令控制接收端的设计简陋且命名直白。有明显迹象表明该组织缺乏移动端漏洞利用的一线开发经验部分植入代码存在借助大语言模型开发的特征大概率是从第三方渠道购买了完整的漏洞工具包仅做了少量适配修改。UNC6748 组织UNC6748 是针对中东地区的定向攻击集群核心攻击目标为沙特阿拉伯地区的 Snapchat 用户。该组织的攻击活动迭代速度快但代码逻辑存在严重的兼容性缺陷反分析能力在攻击过程中逐步提升目前未发现其拥有针对 Chrome 浏览器的攻击链。该组织最早在 2025 年 11 月初发起攻击初始版本仅支持 iOS 18.4 系统后续逐步新增了 iOS 18.6 与 18.7 版本的支持。但漏洞加载器的分支逻辑存在严重错误非 18.6 版本的设备无法正确加载 18.4 版本的漏洞利用模块新增 18.7 版本支持后加载器会无视设备系统版本强制加载 18.7 版本的漏洞利用模块整体兼容性极差。攻击成功后该组织会部署名为 GHOSTKNIFE 的全功能 JavaScript 后门程序实现对目标设备的长期远程控制与数据窃取。PARS DefensePARS Defense 是土耳其的商业监控厂商其发起的攻击活动运营安全水平显著高于其他两个组织。该组织最早在 2025 年 11 月下旬在土耳其境内发起攻击后续其客户在 2026 年 1 月于马来西亚发起了同类攻击。该组织使用的 DarkSword 版本对加载器和漏洞利用模块进行了高强度混淆处理采用 ECDH 密钥协商与 AES 加密的方式传输攻击载荷避免明文泄露。漏洞加载器的逻辑完善可根据设备的 iOS 版本精准匹配对应的漏洞利用模块无兼容性缺陷。2026 年马来西亚的攻击活动中还新增了严格的设备指纹识别逻辑反分析与目标精准度能力极强。攻击成功后该组织会部署名为 GHOSTSABER 的模块化 JavaScript 后门程序支持灵活的功能扩展与定制化攻击需求。恶意载荷功能与数据窃取范围DarkSword 工具包配套三个不同能力的恶意载荷家族均为纯 JavaScript 实现无持久化机制攻击完成后会清理痕迹并退出。三个载荷的功能与定位各有差异详细情况如下。GHOSTBLADE 载荷GHOSTBLADE 是 DarkSword 原生开发的标准载荷由 UNC6353 组织使用定位为轻量化定向数据窃取程序无远程控制后门能力。该载荷的核心功能是覆盖七大类核心隐私数据的采集与外传包括 iMessage、Telegram、WhatsApp 的全量聊天数据设备钥匙串与密钥包WiFi 密码位置历史记录照片元数据加密货币钱包文件Safari 浏览历史、书签与 Cookie 数据以及设备健康数据库等内容与 DarkSword 工具包原生设计的窃取范围完全一致。数据外传完成后该载荷仅会删除 osanalytics 目录下的诊断报告未清理系统主崩溃日志目录痕迹清理能力较弱。代码未做混淆保留了完整的调试日志与开发注释基于 Webpack 打包的代码中保留了完整的源码文件路径暴露了 DarkSword 工具包的完整代码库结构。GHOSTKNIFE 载荷GHOSTKNIFE 是 UNC6748 组织定制开发的全功能远程控制后门程序。该载荷的核心功能包括全量隐私数据窃取覆盖已登录账户、短信与社交软件消息、浏览器数据、位置历史、录音、照片与文件等内容。同时具备完整的远程控制能力支持从命令控制服务器下载文件、设备截屏、麦克风实时录音、执行任意代码还可从服务端获取新参数实时调整攻击配置。通信层面该载荷基于 HTTP 协议的自定义二进制协议与服务端通信采用 ECDH 密钥协商与 AES 加密保障通信安全。痕迹清理方面会定期删除 CrashReporter 目录下mediaplaybackd、SpringBoard、WebKit 相关进程的崩溃日志与内核恐慌日志掩盖攻击痕迹。存储层面会在 tmp 目录下创建基于随机 UUID 的专属目录分模块存储窃取的数据完成回传后自动清理临时文件。GHOSTSABER 载荷GHOSTSABER 是 PARS Defense 定制开发的模块化可扩展后门程序。该载荷的基础功能包括设备信息枚举、已登录账户与已安装应用列表采集、文件系统递归枚举、定向数据窃取、任意 SQLite 数据库查询、照片缩略图批量窃取、指定应用与文件全量上传、正则匹配批量文件窃取以及任意 JavaScript 代码执行可动态扩展攻击功能。载荷中包含地理位置上报、截屏、WiFi 信息窃取、麦克风录音等命令的引用但未实现对应代码同时预留了共享内存通信接口疑似支持后续从命令控制服务器下载二进制模块扩展攻击能力。通信层面基于 HTTP 与 HTTPS 协议与服务端通信。核心数据窃取范围三个载荷均覆盖了设备全量敏感数据的窃取能力核心采集范围包括通信与社交数据包括 SMS 与 iMessage 数据库、通话记录、联系人数据库、Telegram 与 WhatsApp 全量聊天记录、媒体文件与联系人数据系统与网络数据包括 WiFi 配置文件、已知 WiFi 网络与密码、Safari 历史记录、书签、Cookie、浏览器状态数据、设备唯一标识符、SIM 卡信息、蜂窝网络数据、系统配置文件用户隐私数据包括位置历史记录、备忘录、日历、照片元数据、健康数据库、账户信息、邮件索引数据、已安装应用列表系统核心密钥数据包括钥匙串数据库、设备各类密钥包可实现设备权限的完全接管加密货币钱包数据覆盖主流交易平台、硬件钱包配套应用、多链与单链钱包的数十款应用可窃取钱包私钥、助记词与交易数据。受影响范围与风险评估直接受影响的系统版本DarkSword 工具包的原生配置覆盖 iOS 18.4 至 18.6.2 版本PARS Defense 的定制版本已扩展支持 iOS 18.7 版本。所有相关漏洞均已在 iOS 18.7.2、18.7.3、18.7.6以及 iOS 26.1、26.2、26.3、26.3.1 版本中完成修复。运行最新系统版本的设备不受该威胁及其利用的漏洞影响。全球受影响设备规模结合 StatCounter 2026 年 2 月的全球 iOS 版本市场份额数据测算iOS 18.4 至 18.6.2 版本的全球用户占比约 14.2%对应受影响设备规模约 2.2152 亿台。结合 TelemetryDeck 2026 年 2 月的调查数据iOS 18 全系列版本的全球占比为 18.99%扣除已修复的 iOS 18.7.x 版本后约 17.3% 的 iPhone 用户仍处于受影响范围对应设备规模约 2.7 亿台。潜在风险扩展目前无证据表明该漏洞链的相关漏洞被用于攻击 iOS 26 版本的设备但无法排除攻击者对漏洞进行适配实现跨版本利用的可能性。同时若漏洞可向下兼容 iOS 18.4 以下版本受影响设备规模将进一步扩大。该工具包的代码可复用性极强极易被其他威胁组织改造用于新的攻击活动。其纯 JavaScript 的实现方式规避了苹果针对未签名二进制代码的多重防护机制未来此类攻击模式将成为 iOS 平台攻击的主流方向。检测方法与失陷指标DarkSword 无独立的植入进程仅通过系统原生进程执行恶意代码传统杀毒软件难以检测可通过以下方式进行排查。网络层失陷指标指标内容关联威胁组织用途snapshare[.]chatUNC6748沙特阿拉伯攻击活动诱饵站点62[.]72[.]21[.]10UNC6748GHOSTKNIFE 命令控制服务器72[.]60[.]98[.]48UNC6748GHOSTKNIFE 命令控制服务器sahibndn[.]ioPARS Defense土耳其攻击活动载荷分发站点e5[.]malaymoil[.]comPARS Defense马来西亚攻击活动载荷分发站点static[.]cdncounter[.]netUNC6353乌克兰水坑攻击载荷分发服务器cdn[.]cdncounter[.]netUNC6353攻击基础设施关联域名count[.]cdncounter[.]netUNC6353攻击基础设施关联域名sqwas[.]shapelie[.]comUNC6353GHOSTBLADE 数据回传命令控制服务器141[.]105[.]130[.]237UNC63532025 年 12 月 22 日至 2026 年 3 月 17 日活跃的攻击服务器恶意文件特征设备中出现以下文件名可作为感染的辅助判断依据rce_loader.js、rce_module.js、rce_worker_18.4.js、rce_worker_18.6.js、sbx0_main_18.4.js、sbx1_main.js、pe_main.js。文件系统失陷指标设备中出现以下路径的文件可判定为已被感染/private/var/tmp/keychain_dump.txt钥匙串明文导出文件/private/var/tmp/keychain-2.db钥匙串数据库副本/private/var/tmp 目录下的各类 kb 后缀密钥包副本/private/var/tmp/wifi_passwords.txtWiFi 密码明文导出文件/private/var/tmp/wifi_passwords_securityd.txt备用路径 WiFi 密码导出文件/private/var/tmp/icloud_dump/ 目录iCloud 数据导出目录。日志检测特征系统统一日志中出现包含 CHAIN、MAIN、DarkSword-WIFI-DUMP 等标签的日志且来源为 mediaplaybackd 进程可判定为已被感染。设备短时间内出现大量 WebContent、GPU 进程的崩溃记录或 mediaplaybackd 进程出现异常网络流量也需高度警惕感染风险。YARA 检测规则报告配套提供了四个 YARA 检测规则分别覆盖 GHOSTKNIFE、GHOSTSABER、GHOSTBLADE 载荷以及 DarkSword 植入库的特征检测可用于终端威胁扫描与流量分析。缓解措施与安全建议个人用户防护建议立即将 iOS 系统升级至最新版本。所有受影响用户需升级至 iOS 18.7.6 或 iOS 26.3.1 版本苹果已在上述版本中修复了 DarkSword 利用的所有六个安全漏洞这是最核心的缓解措施。整体情况报告DarkSword的扩散iOS漏洞利用链被多个威胁行为者采用https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain信息补充报告使用暗剑的攻击者威胁 iOS 用户https://www.lookout.com/threat-intelligence/article/darksword关于该工具包攻击IOS系统的详细入侵痕迹报告DarkSword内幕一款通过被入侵的合法网站传播的新型iOS漏洞利用工具包https://iverify.io/blog/darksword-ios-exploit-kit-explained相关目录存在窃取数据痕迹/private/var/Keychains//private/var/keybags//private/var/tmp//private/var/run//private/var/db//private/var/root/private/var/log//private/var/wireless/其中最明显的特征为Log Messagemediaplaybackd[] Running on non-A18 Devices[] read_fd: 0x000000000000000a[] write_fd: 0x000000000000000c[] free_thread_arg: 0x0000000cf1568000[] physical_mapping_address: 0x0000000107454000[] pc_object: 0x000000000000e727[] pc_address: 0x000000037cae8000[] Hello from: 0x00000000000056c7[] target corrupted: 0xffffffe1b4d98548Log Messagemediaplaybackd[CHAIN] ..[MAIN] ..[DRIVER-NEWTHREAD] …[MIG_FILTER_BYPASS] …[OFFSETS] …[TASKROP] …[TASK] …[DarkSword-WIFI-DUMP] ..[DarkSword-WIFI-DUMP-SECURITYD] ...黑鸟整理部分IOS系统被攻击痕迹规则如下https://github.com/blackorbird/APT_REPORT/tree/master/exploit_report/IOS/detect
![[Android] 可视化音乐制作 -短视频超火的音乐视频制作工具](http://pic.xiahunao.cn/yaotu/[Android] 可视化音乐制作 -短视频超火的音乐视频制作工具)
