iVerify今日发布报告，详细披露了P7 DarkSword——这款全新恶意软件变种，与今年早些时候曝光的iPhone DarkSword漏洞利用链直接相关。以下是完整细节。

今年早些时候，谷歌和iVerify公布了两种复杂的iPhone黑客工具，分别是Coruna和DarkSword，这两者都将多个iOS漏洞串联起来，攻击运行过时系统版本的设备。

以DarkSword为例，一旦iPhone被攻破，攻击者便可能部署更多恶意软件，访问敏感数据。

Coruna 的目标设备运行于 iOS 13 至 iOS 17.2.1，而 DarkSword 则影响了运行 iOS 18.4 至 iOS 18.7 的 iPhone。

这促使苹果为受影响的旧iOS版本发布系统更新，包括iOS 15.8.7、iOS 16.7.15和iOS 18.7.7。苹果甚至采取了罕见的措施，将iOS 18.7.7提供给能够安装iOS 26的设备，这样选择不升级到最新系统版本的用户也能免受DarkSword的侵害。

当时，谷歌表示DarkSword被多家商业监控供应商和疑似国家支持行为者使用，针对沙特阿拉伯、土耳其、马来西亚和乌克兰的目标均有攻击。

今天，iVerify宣布发现了P7 DarkSword，这是一种此前未曾见过的变异株，两个月前在调查一家金融机构员工iPhone感染时发现的。

在与9to5Mac分享的更多细节中，iVerify指出P7扩展了对iOS 18.7的兼容性，较之前追踪的iOS 18.6有所提升。谷歌观察到的其他DarkSword部署已经支持iOS 18.7。

公司还表示，P7背后的威胁行为者通过恶意广告分发，作为“水源攻击”的一部分，这意味着受害者不一定是个别目标。相反，用户仅仅因为遇到恶意或被攻破的网络内容，就可能被卷入更广泛的活动。

报告内容如下：

2026年8月，我们在调查一起DarkSword感染事件时，发现了一款此前从未被公开记录的全新变种，我们将其命名为P7 DarkSword。“P7”这个名称来源于攻击者在修改原始DarkSword代码时，大量使用的p7_变量前缀。和我们以往观测到的所有DarkSword变种相比，P7大幅缩小了自身在设备上的运行痕迹，新增了本地钥匙串数据窃取、加密钱包信息盗取能力，还实现了与攻击者服务器基础设施的双向C2通信。本文将完整还原本次调查过程，详解该变种的全部能力，同时提供可用于检测该恶意软件的相关威胁指标。

报告称，P7 DarkSword在三个主要方面比早期版本有所改进：隐身、稳定性和功能性。新版本减少了日志和进程注入次数，利用浏览器存储以避免反复利用同一设备，并扩展了数据窃取能力。

iVerify还告诉9to5Mac，这些变化似乎反映了运营商的大量工作，而非简单的AI辅助修改。公司表示，P7在隐藏自身和清理行为方面做得更好，因此之前的入侵指标（IOC）已不再有效。

最值得注意的是，iVerify表示P7可以在发送给攻击者之前，直接在iPhone上提取钥匙链数据，而不是将整个钥匙链数据库复制到其他地方处理。

P7 DarkSword 还可以针对加密钱包数据，并引入了与攻击者指挥控制基础设施更先进的双向通信。

这种双向通信也让攻击者对受感染设备拥有了更大控制力。根据iVerify的数据，P7可以接收命令，检索任意文件、上传照片、盘点已安装的应用、访问Apple Notes数据库、从单个应用容器收集数据，以及扫描设备的文件系统。

默认情况下，间谍软件每15秒向攻击者的指挥控制服务器发送一次新指令，尽管该间隔可远程更改。

值得注意的是，P7并非iOS新漏洞，而是在成功攻破DarkSword后部署的恶意软件新版本。iVerify并未说明8月发现P7的设备上运行的是哪个iOS版本。