Un potente kit de exploits para iOS conocido como DarkSword ha sido filtrado públicamente en GitHub, reduciendo drásticamente la barrera para que los ciberdelincuentes ataquen a cientos de millones de iPhones e iPads que aún ejecutan software desactualizado. Los investigadores de seguridad están haciendo sonar la alarma, ya que la filtración convierte lo que antes era una herramienta ofensiva sofisticada vinculada a estados en un ataque accesible

Un potente kit de explotación para iOS conocido como DarkSword ha sido filtrado públicamente en GitHub, reduciendo drásticamente la barrera para que ciberdelincuentes ataquen a cientos de millones de iPhones e iPads que aún ejecutan software desactualizado.

Los investigadores de seguridad están dando la voz de alarma, ya que la filtración convierte lo que antes era una herramienta ofensiva sofisticada vinculada a estados en un kit de ataque accesible para prácticamente cualquier actor de amenazas.

Exploit DarkSword

DarkSword es una cadena de explotación completa para iOS escrita en JavaScript, identificada originalmente en marzo de 2026 por el Grupo de Inteligencia de Amenazas de Google (GTIG), junto con las empresas de ciberseguridad iVerify y Lookout.

El kit encadena seis vulnerabilidades zero-day distintas para lograr un compromiso completo y con privilegios de un iPhone objetivo, todo iniciado mediante una sola visita a una página web maliciosa desde el navegador.

La cadena de ataque comienza cuando Safari carga un iframe malicioso incrustado en un sitio comprometido. Desde allí, DarkSword escapa del sandbox de WebContent, aprovecha WebGPU para inyectar código en el proceso mediaplaybackd y finalmente logra acceso completo de lectura/escritura en el kernel.

Este acceso a nivel de kernel permite al atacante modificar las restricciones del sandbox y acceder a áreas restringidas del sistema de archivos de iOS, sin necesidad de acceso físico al dispositivo.

Entre las vulnerabilidades explotadas está la CVE-2025-43529, un error de recolección de basura en la capa Data Flow Graph (DFG) JIT de JavaScriptCore, que Apple parcheó en iOS 18.7.3 e iOS 26.2 tras su divulgación por parte de GTIG.

DarkSword fue desplegado inicialmente en campañas de espionaje dirigidas contra ciudadanos ucranianos por un grupo de amenazas rastreado como UNC6353, sospechoso de operar al menos en parte en nombre del gobierno ruso.

El kit fue diseñado para la exfiltración rápida y encubierta de datos, extrayendo contraseñas, fotos, mensajes de WhatsApp y Telegram, hilos de iMessage, historial del navegador e incluso credenciales de carteras de criptomonedas antes de desaparecer sin dejar rastro.

Los investigadores de Lookout señalaron que el tiempo de DarkSword en un dispositivo comprometido probablemente se mida en minutos, lo que lo convierte en una operación clásica de espionaje del tipo "golpea y huye".

Lo que antes era una herramienta ofensiva de nivel estatal ahora está disponible gratuitamente en línea. Una versión más reciente del kit DarkSword, compuesta por archivos HTML y JavaScript relativamente básicos, fue publicada en GitHub, y los investigadores advierten que puede desplegarse en un servidor malicioso en cuestión de minutos.

El entusiasta de la seguridad Matteyeux confirmó que la amenaza es real e inmediata, publicando en X que logró comprometer con éxito un iPad mini de sexta generación que ejecutaba iPadOS 18.6.2 usando la muestra filtrada de DarkSword, demostrando que el exploit funciona sin necesidad de conocimientos técnicos avanzados.

Según los propios datos de uso de Apple, aproximadamente una cuarta parte de todos los iPhones e iPads activos aún ejecutan iOS 18 o versiones anteriores, lo que potencialmente representa cientos de millones de dispositivos vulnerables en todo el mundo.

DarkSword apunta específicamente a las versiones de iOS 18.4 a 18.7, todas las cuales permanecen sin parches contra la cadena de exploits completa a menos que se actualicen a iOS 26.

Apple reconoció la vulnerabilidad y lanzó una actualización de seguridad de emergencia el 11 de marzo para dispositivos que no pueden actualizarse a iOS 26. Apple también confirmó que los dispositivos con el Modo Aislamiento activado están protegidos contra los ataques de DarkSword, incluso con software desactualizado.

Los expertos en seguridad instan encarecidamente a todos los usuarios de iPhone e iPad a actualizar inmediatamente a iOS 26 o aplicar el parche de emergencia disponible. Los usuarios que no puedan actualizar deben activar el Modo Aislamiento como mitigación inmediata contra esta cadena de exploits ahora pública y armada.