Poco después de que Google identificara un kit de hackeo para iPhone, ha emergido una nueva amenaza. Investigadores de Google, iVerify y Lookout han expuesto DarkSword, una técnica que compromete dispositivos iOS simplemente visitando una página web. Se estima que esta herramienta, ya empleada en actividades de espionaje, podría poner en riesgo a cientos de millones de usuarios.

Según informes de los investigadores, DarkSword opera mediante un ataque “watering hole” (o abrevadero). En este método, ciberdelincuentes infectan sitios web legítimos para vulnerar los dispositivos de sus objetivos. Un iPhone susceptible se vería comprometido con solo cargar la página web infectada.

A diferencia del spyware tradicional, DarkSword no instala archivos en el dispositivo. Utiliza técnicas de malware “fileless” (sin archivo), aprovechándose de los procesos existentes del sistema operativo para extraer información.

Rocky Cole, cofundador de iVerify, explicó que “en lugar de utilizar un payload de spyware para forzar el acceso al sistema de archivos, esta técnica simplemente manipula los procesos del sistema de la forma en que fueron diseñados”.

DarkSword explota seis vulnerabilidades diferentes a través de dos cadenas de ataque, afectando desde el motor de renderizado WebKit hasta el núcleo de iOS. Los ingenieros de seguridad señalan que el exploit actúa rápidamente, extrayendo datos en minutos y desapareciendo al reiniciar el dispositivo. Su naturaleza “fileless” dificulta su detección, ya que deja escasos rastros.

Información que DarkSword puede sustraer de un iPhone

Tras acceder a una web comprometida, los atacantes pueden extraer una vasta cantidad de información. Esto incluye mensajes de texto, historial de llamadas, contraseñas de Wi-Fi, historiales de navegación y ubicación, billeteras de criptomonedas, registros de iMessage, WhatsApp y Telegram, datos de Calendario y Notas, e incluso información de Apple Health.

El Grupo de Inteligencia de Amenazas de Google informa que DarkSword ha estado activo desde al menos noviembre de 2025, siendo empleado por diversos grupos, incluyendo proveedores de spyware y entidades de espionaje respaldadas por estados. Se han identificado campañas dirigidas a Arabia Saudita, Turquía, Malasia y Ucrania.

El incidente más conocido es el del grupo de espionaje ruso UNC6353, que desplegó la herramienta Coruna en sitios web ucranianos, incluyendo servidores gubernamentales. En Turquía y Malasia, Google vinculó el uso de DarkSword a clientes de PARS Defense, una empresa turca de seguridad.

Un aspecto notable del informe es que los ciberdelincuentes dejaron el código de DarkSword sin ofuscar, totalmente expuesto. Contenía comentarios explicativos en inglés, incluso mencionando el nombre de la herramienta, accesibles para cualquiera que visitara los sitios web comprometidos.

Matthias Frielingsdorf, cofundador e investigador de iVerify, advirtió: “Cualquiera podría tomar manualmente las diferentes partes del exploit, instalarlas en su propio servidor web y comenzar a infectar teléfonos. Es así de sencillo. Está todo muy bien documentado. Es demasiado fácil”.

Exposición de más de 270 millones de dispositivos

Similar a Coruna, esta herramienta explota dispositivos móviles que no tienen la última versión del sistema operativo. Los investigadores indicaron que DarkSword afecta a iPhones con versiones desde iOS 18.4 hasta iOS 18.7. Apple estima que aproximadamente 270 millones de iPhones globalmente aún utilizan estas versiones.

La buena noticia es que Apple ya corrigió todas estas vulnerabilidades con el lanzamiento de iOS 26. Además, la compañía ha proporcionado actualizaciones de emergencia para modelos más antiguos incapaces de ejecutar la versión más reciente del sistema.

Si tu dispositivo aún no está actualizado, puedes hacerlo a través de Ajustes > General > Actualización de Software. Los expertos también recomiendan activar el Modo de Aislamiento (o Modo Hermético) en tu iPhone, una capa extra de seguridad que restringe ciertas funcionalidades durante la navegación o el uso de apps y servicios. Este modo está diseñado para proteger a individuos que puedan ser blanco de ataques muy específicos.

Método para hackear centenas de milhões de iPhones com uma simples visita web é revelado

Pouco depois de o Google identificar um kit de hacking para iPhone, uma nova ameaça surgiu. Investigadores do Google, iVerify e Lookout expuseram o DarkSword, uma técnica que compromete dispositivos iOS simplesmente ao visitar uma página da web. Estima-se que esta ferramenta, já empregada em atividades de espionagem, poderia colocar em risco centenas de milhões de usuários.

De acordo com relatórios dos investigadores, o DarkSword opera através de um ataque “watering hole”. Neste método, cibercriminosos infectam sites legítimos para comprometer os dispositivos de seus alvos. Um iPhone suscetível seria comprometido apenas ao carregar a página web infectada.

Ao contrário do spyware tradicional, o DarkSword não instala arquivos no dispositivo. Ele utiliza técnicas de malware “fileless” (sem arquivo), aproveitando-se dos processos existentes do sistema operacional para extrair informações.

Rocky Cole, cofundador da iVerify, explicou que “em vez de usar um payload de spyware para forçar o acesso ao sistema de arquivos, esta técnica simplesmente manipula os processos do sistema da forma como foram projetados”.

O DarkSword explora seis vulnerabilidades distintas através de duas cadeias de ataque, afetando desde o motor WebKit até o núcleo do iOS. Engenheiros de segurança apontam que o exploit age rapidamente, extraindo dados em minutos e desaparecendo ao reiniciar o dispositivo. Sua natureza “fileless” dificulta sua detecção, pois deixa poucos rastros.

Informações que o DarkSword pode extrair de um iPhone

Após acessar uma página web comprometida, os atacantes podem extrair uma vasta quantidade de informações. Isso inclui mensagens de texto, histórico de chamadas, senhas de Wi-Fi, históricos de navegação e localização, carteiras de criptomoedas, registros do iMessage, WhatsApp e Telegram, dados de Calendário e Notas, e até mesmo informações do Apple Health.

O Grupo de Inteligência de Ameaças do Google relata que o DarkSword está ativo desde pelo menos novembro de 2025, sendo empregado por diversos grupos, incluindo fornecedores de spyware e entidades de espionagem apoiadas por estados. Campanhas direcionadas à Arábia Saudita, Turquia, Malásia e Ucrânia foram identificadas.

O incidente mais conhecido envolve o grupo de espionagem russo UNC6353, que utilizou a ferramenta Coruna em sites ucranianos, incluindo servidores governamentais. Na Turquia e Malásia, o Google associou o uso do DarkSword a clientes da PARS Defense, uma empresa turca de segurança.

Um aspecto notável do relatório é que os cibercriminosos deixaram o código do DarkSword completamente exposto, sem ofuscação. Ele continha comentários explicativos em inglês, inclusive mencionando o nome da ferramenta, acessíveis a qualquer pessoa que visitasse os sites comprometidos.

Matthias Frielingsdorf, cofundador e investigador da iVerify, alertou: “Qualquer um poderia pegar manualmente as diferentes partes do exploit, instalá-las em seu próprio servidor web e começar a infectar telefones. É assim tão simples. Está tudo muito bem documentado. É demasiado fácil.”

Exposição de mais de 270 milhões de dispositivos

Semelhante ao Coruna, esta ferramenta explora dispositivos móveis que não possuem a versão mais recente do sistema operacional. Os investigadores indicaram que o DarkSword afeta iPhones com versões do iOS 18.4 ao iOS 18.7. A Apple estima que aproximadamente 270 milhões de iPhones globalmente ainda utilizam essas versões.

A boa notícia é que a **Apple já corrigiu todas essas vulnerabilidades com o lançamento do iOS 26**. Além disso, a empresa forneceu atualizações de emergência para modelos mais antigos que não conseguem executar a versão mais recente do sistema.

Se o seu dispositivo ainda não estiver atualizado, você pode fazê-lo através de Ajustes > Geral > Atualização de Software. Os especialistas também recomendam **ativar o Modo de Isolamento** (ou Modo Hermético) no seu iPhone, uma camada extra de segurança que restringe certas funcionalidades durante a navegação ou o uso de aplicativos e serviços. Este modo é projetado para proteger indivíduos que possam ser alvo de ataques muito específicos.