DarkSword 泄露,国家级 iPhone 攻击武器走向「开源」

2026 年 3 月 23 日，一个名为 DarkSword 的 iPhone 攻击工具包被人上传至 GitHub，完整代码公开可见。据报道，泄露版本比此前研究人员分析过的样本更新，且全部由 HTML 和 JavaScript 组成，不需要任何 iOS 安全研究经验就能部署。

这事的严重性在于：DarkSword 不是一个概念验证，而是一套完整的实战级攻击链。它能在受害者用 Safari 浏览器访问一个被感染的网站时，在几秒到几分钟内窃走 iPhone 上的短信、通讯录、密码、加密货币钱包数据、iCloud 文件、照片和通话记录，随后自动清理痕迹退出。泄露的代码可以直接使用，任何人复制粘贴到服务器上就能发动攻击。

Apple 方面回应称，已在 3 月 11 日为无法运行 iOS 26 的旧设备发布紧急更新。但根据 Apple 自己的数据，约四分之一的 iPhone 和 iPad 用户仍在运行 iOS 18 或更早版本。Apple 目前拥有超过 25 亿台活跃设备，这意味着数亿台设备暴露在风险之中。
技术要点：六个漏洞，一条完整攻击链
DarkSword 的攻击路径可以简单理解为「逐层突破」：先在浏览器里拿到代码执行能力，再一层一层逃出 iOS 的安全沙箱，最终获得对整部手机的完全控制。

Google Threat Intelligence Group (GTIG) 的分析显示，DarkSword 串联了六个漏洞，其中三个在被利用时是零日漏洞：
[td]

漏洞编号	位置	作用	修复版本
CVE-2025-31277	JavaScriptCore	浏览器内远程执行代码（iOS 18.6 以下）	iOS 18.6
CVE-2025-43529	JavaScriptCore	浏览器内远程执行代码（iOS 18.6-18.7）	iOS 18.7.3 / 26.2
CVE-2026-20700	dyld	绕过 PAC 硬件保护（零日）	iOS 26.3
CVE-2025-14174	ANGLE	从浏览器沙箱逃逸至 GPU 进程	iOS 18.7.3 / 26.2
CVE-2025-43510	iOS 内核	从 GPU 进程逃逸至 mediaplaybackd	iOS 18.7.2 / 26.1
CVE-2025-43520	iOS 内核	内核提权，获取完全读写能力	iOS 18.7.2 / 26.1

说白了，用户只要用 Safari 访问一个被植入恶意代码的网站，DarkSword 就会自动判断设备的 iOS 版本，选择对应的攻击模块，一路从浏览器打穿到内核层。整个过程全部在 JavaScript 中完成，不需要 Mach-O 二进制文件——这也是它能被「复制粘贴就部署」的原因。

据 Lookout 安全公司的分析，DarkSword 采用「打了就跑」策略：得手后在几分钟内完成数据窃取，随即删除自身痕迹。它不是设计用于长期监控的，而是追求快速、大量地拿走高价值数据。被窃取的信息覆盖面极广，包括 iMessage、WhatsApp、Telegram 聊天记录，以及 Coinbase、Binance、MetaMask、Ledger 等十多个加密货币平台的钱包数据。
谁在用 DarkSword？
GTIG 追踪到至少三个独立威胁行为者在使用 DarkSword，目标横跨四个国家：

UNC6353（疑似俄罗斯国家级行为者）：自 2025 年 12 月起通过「水坑攻击」——在乌克兰政府网站和民用网站中注入隐藏的恶意 iFrame——针对乌克兰用户。这个组织同时也是此前 Coruna 攻击工具包的使用者。它部署的后门是 GHOSTBLADE，功能包括窃取加密货币钱包、通讯数据和位置历史。Lookout 安全公司的研判认为，UNC6353 本身技术能力有限，但资金充裕，能够从市场上采购顶级攻击工具。

PARS Defense 客户（土耳其商业监控厂商）：2025 年 11 月在土耳其、2026 年 1 月在马来西亚开展攻击活动。PARS Defense 的部署比其他行为者更注重操作安全——对攻击载荷施加了混淆，并使用 ECDH+AES 加密传输。它投放的后门是 GHOSTSABER，能执行任意 JavaScript 代码和窃取数据。PARS Defense 在其官网上自我定位为「移动取证」公司，但实际上是向政府客户出售入侵工具的商业监控厂商。

UNC6748：2025 年 11 月通过一个伪装成 Snapchat 的钓鱼网站 snapshare[.]chat 针对沙特阿拉伯用户。它部署的后门是 GHOSTKNIFE，具备录音、截图和数据窃取功能。

研判：同一套攻击链在短时间内被至少三个背景截然不同的组织使用，这本身就说明 DarkSword 不是「自研」产品，而是通过某种交易渠道流通的商品化工具。据此推断，存在一个活跃的零日漏洞二级市场，攻击链在不同买家之间转手。
更大的图景：从 Coruna 到 DarkSword
DarkSword 的泄露不是孤立事件。就在三周前，Google 和 iVerify 刚刚披露了另一套 iPhone 攻击工具包 Coruna——含 23 个漏洞利用、覆盖 iOS 13 到 17.2.1 的五条完整攻击链。

Coruna 的来源更加敏感。TechCrunch 引述两名前员工的说法，指出 Coruna 至少部分由美国国防承包商 L3Harris 旗下的 Trenchant 部门开发。Trenchant 的前身是澳大利亚安全公司 Azimuth 和 Linchpin Labs，2018 年被 L3Harris 收购后专门为美国政府及五眼联盟制造攻击工具。

Coruna 是怎么落入俄罗斯黑客手中的？线索指向一个人：Peter Williams，澳大利亚国籍，曾在澳大利亚信号局（ASD，相当于美国 NSA）任职，后来成为 Trenchant 的总经理。2026 年 2 月 25 日，Williams 在华盛顿特区联邦法院被判处 87 个月监禁，罪名是在 2022 至 2025 年间窃取 Trenchant 至少八项零日漏洞并出售给俄罗斯漏洞经纪商 Operation Zero，换取约 130 万美元加密货币。检方估算 L3Harris 因此损失 3500 万美元。

Williams 被判刑的同一天，美国财政部宣布制裁 Operation Zero 及其创始人 Sergey Zelenyuk。财政部声明指出，Operation Zero 将窃取的工具卖给了「至少一个未经授权的用户」。Trickbot 勒索软件团伙的一名成员 Oleg Kucherov 也因与 Operation Zero 合作而被同时制裁——这条线索暗示攻击工具可能已经流入了网络犯罪生态。

Coruna 的扩散路径已被 Google 追踪：先由某商业监控厂商客户使用 → 转入 UNC6353（俄罗斯情报组织）→ 再落入黑客组织，后者用它在大量假冒加密货币和赌博网站上对 iOS 用户实施盗窃。

而 DarkSword 的使用者 UNC6353 同时也是 Coruna 的使用者。两套工具都包含加密货币窃取功能。安全研究员 Costin Raiu 注意到 Coruna 使用鸟类名称作为内部代号，与 Trenchant/Azimuth 的命名习惯一致——Trenchant 最著名的公开攻击链就叫「Condor」（秃鹰）。

研判：DarkSword 与 Coruna 共享同一个威胁行为者（UNC6353），但目前没有证据证明 DarkSword 也由 Trenchant 开发。不过，两者在相近时间内被同一组织获取并部署，说明该组织拥有稳定的高端漏洞采购渠道。Lookout安全公司注意到 DarkSword 的代码中有大量解释性注释，且存在 LLM 辅助开发的痕迹（如文件夹 emoji 和对勾符号），表明其开发过程可能借助了大语言模型。
泄露的影响


GitHub 上泄露的 DarkSword 代码意味着攻击门槛降到了几乎为零。安全爱好者 matteyeux 当天就在 X 上演示了用泄露样本成功入侵一台运行 iOS 18 的 iPad mini。iVerify 的 Frielingsdorf 直言：「这没法收回了。我们必须预期犯罪分子和其他人会开始部署它。」Google 发言人确认了这一评估。

受影响设备的范围：

• DarkSword 针对 iOS 18.4 至 18.7 的设备
• Coruna 针对 iOS 13.0 至 17.2.1 的设备
• 两者叠加后，iVerify 估计数亿台未更新的设备处于风险中
• GTIG 估算约 2.2 亿至 2.7 亿台 iPhone 仍运行在存在漏洞的 iOS 版本上，约占全球活跃 iOS 设备的 14%
  

Apple 已发布补丁：iOS 26.3 修复了所有 DarkSword 漏洞，iOS 18.7.3 修复了部分漏洞，甚至为 iOS 15 和 16 的旧设备发布了 iOS 15.8.7 和 iOS 16.7.15 安全更新。Apple 发言人 Sarah O'Rourke 表示，已更新软件的设备不受影响，启用锁定模式🔒 也能阻止这些攻击🐶。