セキュリティ企業スローミストは10月19日、iOS向け攻撃ツール「DarkSword」の新変種P7が、暗号資産（仮想通貨）ウォレットデータやKeychain内の保存情報を狙う機能を備えているとする分析報告を公表した。Safariで悪意あるページを開くだけで攻撃の引き金になる恐れがあり、iPhoneで暗号資産ウォレットを使う利用者は端末更新を急ぐ必要がある。

報告では、P7変種が配信からデータ収集、情報窃取、資金集約までを含む攻撃パイプラインを備えるとされた。対象にはKeychain、端末内ファイル、メッセージ、暗号資産ウォレットデータが含まれ、imTokenなど25以上のウォレットアプリを探索し、抽出したデータを復号して資金窃取や資金集約に悪用される可能性がある機能も確認された。

感染経路は1クリック型とされ、Safariで不正なWebページを閲覧するだけで攻撃が始まる恐れがある。コード分析では、有効な攻撃範囲はiOS 18.6〜18.7.2と26.0〜26.1に及ぶとされた。

P7変種は7月にGitHub上で確認され、9月下旬には攻撃インフラの稼働も観測された。公開されたコードが実際の攻撃に使える形に武器化され、暗号資産ウォレットを狙う実運用を想定した攻撃基盤が構築されていたことが、今回の分析で示された。

利用者向けの対策としては、iOSを最新版へ更新し、信頼できないリンクやページを開かないことが挙げられる。スローミストは、疑わしいページを閲覧した場合はシードフレーズや秘密鍵が漏えいした前提で対応し、新しいウォレットを作成したうえで資産を移すよう推奨した。

今回の分析は10月19日に公表されたスローミストの報告に基づくもので、実際の被害件数や被害額の全体像は示されていない。Frame confidenceは「中」とされており、攻撃チェーンやウォレット探索機能は複数の調査で一致して確認されている。

画像：Shutterstock