Un sofisticado kit de exploits de iOS en cadena completa, denominado DarkSword, ha sido desplegado activamente por múltiples proveedores comerciales de vigilancia y actores de amenazas patrocinados por estados desde al menos noviembre de 2025 para robar datos personales sensibles de usuarios de iPhone en cuatro países. DarkSword es un exploit de iOS en cadena completa que combina seis vulnerabilidades distintas, cuatro de las cuales se utilizaron como zero-days, para lograr un compromiso total

Un sofisticado kit de exploits de iOS de cadena completa denominado DarkSword, desplegado activamente por múltiples proveedores comerciales de vigilancia y actores de amenazas patrocinados por estados desde al menos noviembre de 2025 para robar datos personales sensibles de usuarios de iPhone en cuatro países.

DarkSword es un exploit de cadena completa para iOS que encadena seis vulnerabilidades distintas, cuatro de las cuales se explotaron como zero-days, para lograr el compromiso total del dispositivo en iPhones con versiones de iOS 18.4 a 18.7.

La cadena de exploits opera completamente en JavaScript, permitiendo a los atacantes eludir las mitigaciones de la Capa de Protección de Páginas (PPL) y el Monitor de Tablas de Páginas Seguras (SPTM) de Apple, que de otro modo bloquearían la ejecución de código binario nativo no firmado.

GTIG, iVerify y Lookout analizaron el nombre de la cadena de exploits basándose en marcas de herramientas incrustadas en las cargas útiles recuperadas y han confirmado su uso en campañas dirigidas contra víctimas en Arabia Saudita, Turquía, Malasia y Ucrania.

Cadena de Exploits de iOS con Seis Vulnerabilidades

La cadena de seis vulnerabilidades comienza con un exploit de ejecución remota de código (RCE) dirigido a JavaScriptCore, el motor JavaScript de Apple utilizado en Safari y WebKit, y avanza a través de dos etapas de escape de sandbox, una escalada de privilegios locales y una implementación final de carga útil que otorga a los atacantes privilegios completos a nivel de kernel.

CVE-2026-20700, un bypass del Código de Autenticación de Punteros (PAC) en el enlazador dinámico dyld de Apple, se encadenó directamente con ambos exploits de RCE y solo se parcheó con iOS 26.3 después de que GTIG lo reportara a Apple.

GTIG identificó tres familias distintas de malware post-explotación desplegadas tras un compromiso exitoso de DarkSword, cada una adaptada a las necesidades específicas de los actores de amenazas.

GHOSTKNIFE, desplegado por el grupo de amenazas UNC6748 a través de un sitio de phishing con temática de Snapchat (snapshare[.]chat), es una puerta trasera en JavaScript capaz de exfiltrar cuentas iniciadas, mensajes, datos del navegador, historial de ubicación y grabaciones de audio desde el micrófono del dispositivo.

Se comunica con su servidor de comando y control (C2) mediante un protocolo binario personalizado cifrado con ECDH y AES, y elimina activamente los registros de fallos del dispositivo para evadir la detección forense.

GHOSTSABER, desplegado por el proveedor turco de vigilancia comercial PARS Defense en campañas dirigidas a Turquía y Malasia, admite más de 15 comandos C2 distintos, incluyendo enumeración de dispositivos, exfiltración de archivos, ejecución de consultas SQLite arbitrarias y subida de miniaturas de fotos.

Varios comandos de GHOSTSABER, como grabación de audio y geolocalización en tiempo real, aún no están completamente implementados en el implante de JavaScript, lo que sugiere que se descargan módulos binarios adicionales en tiempo de ejecución desde el servidor C2.

GHOSTBLADE, atribuido al actor de espionaje ruso sospechoso UNC6353, funciona como un minero de datos integral que exfiltra datos de iMessages, Telegram y WhatsApp, datos de carteras de criptomonedas, historial y cookies de Safari, bases de datos de Salud, llaveros del dispositivo, historial de ubicación y contraseñas Wi-Fi guardadas.

A diferencia de las otras dos familias, GHOSTBLADE no opera de manera persistente ni admite comandos interactivos de puerta trasera, pero su amplitud de recolección de datos lo hace muy valioso para operaciones de recopilación de inteligencia. Notablemente, el código de la biblioteca de GHOSTBLADE contiene una referencia a una función llamada startSandworm() que permanece sin implementar —posiblemente un nombre en clave para un exploit separado y futuro.

UNC6748 entregó DarkSword a través de un sitio fraudulento que imitaba a Snapchat, utilizando cargadores de JavaScript ofuscados con protecciones anti-depuración y huellas dactilares de almacenamiento de sesión para evitar reinfectar a las mismas víctimas.

PARS Defense mejoró su mecanismo de entrega para cifrar las etapas del exploit utilizando intercambio de claves ECDH entre la infraestructura del atacante y el dispositivo de la víctima, demostrando una mayor conciencia de seguridad operativa.

UNC6353 —un grupo de espionaje ruso sospechoso previamente vinculado al kit de exploits para iOS Coruna— incrustó etiquetas <script> maliciosas en sitios web ucranianos comprometidos, cargando DarkSword silenciosamente a través de iFrames ocultos.

Curiosamente, un comentario en el código fuente de UNC6353 estaba escrito en ruso, y GTIG ha estado trabajando con CERT-UA para mitigar esta campaña en curso activa hasta marzo de 2026.

GTIG reportó todas las vulnerabilidades de DarkSword a Apple a finales de 2025, y las seis CVE han sido parcheadas, la mayoría antes y el resto con el lanzamiento de iOS 26.3.

Google también ha añadido todos los dominios de entrega de DarkSword identificados a Navegación Segura. Se insta encarecidamente a los usuarios a actualizar a la última versión de iOS inmediatamente; si las actualizaciones no están disponibles, se recomienda activar el Modo de Bloqueo como salvaguarda adicional contra esta clase de exploits.