原文发布于 2026 年 10 月 19 日 17:00（UTC+8），取证时间为 2026 年 10 月 16 日。以下内容依据慢雾威胁情报团队的原文整理，所述设施状态、后台统计与代码分析均对应当时的调查，不代表当前状态。
风险不止于恶意页面，而是设备失陷后的密钥访问
据慢雾分析，一套围绕 DarkSword 等 iOS 利用链搭建的攻击设施，已将诱饵页面、漏洞投递、设备管理、数据窃取和钱包资金操作整合到管理后台。对钱包用户而言，关键风险在于：攻击者试图突破浏览器与应用沙箱边界，进一步读取钱包本地存储和系统钥匙串，而不只是诱导用户在网页上输入助记词。
原文援引 Google Threat Intelligence Group（GTIG）于 2026 年 3 月 18 日发布的报告称，DarkSword 针对运行 iOS 18.4 至 18.6.2 的 iPhone，访问特定 Safari 页面即可触发利用。该链包含六个 CVE，其中三个在被观察时仍是在野零日漏洞，窃取目标包括文件、钥匙串和键盘输入，并重点关注三款加密货币钱包应用。
慢雾此次调查则指向一套进一步工程化的设施：攻击方在公开利用链之上增加版本分流、钱包数据处理、远程控制与后台操作功能。不过，源码中存在某项功能，不等于它已在所有目标设备上成功运行；设备出现在后台，也不等于已经被攻陷。
从公开代码到可部署套件
原文梳理的时间线显示，2026 年 3 月，Coruna 与 DarkSword 相关样本、利用代码和投递框架陆续出现在公开渠道。3 月 25 日，慢雾首席信息安全官 @im23pds 曾公开提示 DarkSword 攻击工具泄露风险。
2026 年 7 月 19 日建立的 adoemwanmei/DarkSword-PROV2 仓库，进一步包含利用链、投递服务端、管理后台和数据库。慢雾称，相关套件在 9 月下旬被部署上线，至 10 月 16 日取证时仍有代码合并更新。
几个名称需要区分：
- DarkSword：一条 iOS 利用链。
- Coruna：另一条覆盖较早 iOS 版本的利用链。
- DK、DK10：两代管理面板名称；相关后台在源码中使用
DarkSword Admin API标题。 - ueyes：源码中对 18+ 利用链使用的内部代号。
慢雾通过后台接口标题、版本号、前端依赖和页面模块对应关系，将现网管理后台与公开仓库关联起来。调查还发现，部分利用文件与公开上游文件哈希一致，其他文件保留了上游模块名或仓库相关注释。这些证据支持代码同源判断，但并不单独构成对实际运营者身份的确认。
投递入口、版本标签与完整利用能力必须分开看
这套设施采用主题化落地页引流。原文列举的诱饵包括“AI 股票分析器”、腕表回收服务，以及区块链抽奖、WhatsApp 验证、iOS 更新、iCloud 照片和 Apple ID 登录模板。其中，腕表回收页面被发现直接引入投递脚本与利用链入口，访问后无需额外点击即可触发加载。
投递脚本会识别系统版本、登记设备与渠道信息，再选择后续利用链。但其覆盖范围不能仅凭入口宣传或载荷文件名判断：
| 层次 | 原文记录 | 应如何理解 |
|---|---|---|
| 投递触达 | 入口接受 iOS 13.0 起的设备，并声称覆盖 iOS 13.0 至 18.x | 能访问、登记或被分流，不等于利用成功 |
| 载荷库 | 1,045 条记录、24 个版本标签，标签最远至 26.6.1 | 存在占位、调试及未验证条目 |
| 18+ 装载器 | 接受 iOS 18.4.0 至 18.7.2 | 进入链条不等于各阶段齐备 |
| 路由代码分析 | 原文将 iOS 18.6 至 18.7.2、26.0 至 26.1 列为两个完整利用窗口 | 这是源码分析结论，不是逐版本真机成功记录 |
原文指出，18.4 和 18.5 的设备可能被引入链条，但路由中的利用阶段不完整；对 26.2 之后的版本，相关入口或提权阶段为空，26.2 也被标注为利用未验证。因此，后台出现运行 iOS 26.3、26.5.2、26.6.1 的设备，只能说明它们访问并登记过，不能据此认定已遭完整利用。
载荷库还包含与 CVE-2026-43818 相关的 HEIF 图片解析入口文件。原文将其描述为 ImageIO 整数溢出，所列影响版本横跨多个 iOS 大版本，但同时明确指出：代码标注尚未完成真机验证。不能把这部分研发材料计入已证实的攻击覆盖面。
后台数据反映了什么，又不能证明什么
慢雾记录的仪表盘显示：
- 近 7 天总访问量：6,115；
- 总设备数：57；
- 总窃取记录：10,125；
- iOS 日志：143,802。
另一份 30 天窗口的攻击漏斗显示：页面访问 20,187 次、采集器加载 20,056 次、设备活跃 1,210 次、漏洞利用 1,187 次、利用成功 10 次，最终数据外传 9 次。
这两组数据的统计窗口不同，不能直接混用；设备数、记录数、成功次数也不是同一指标。尤其需要注意，原文没有给出可核实的被盗资产金额，不能把后台记录量或“一键归集”功能换算成实际损失。
钱包攻击跨越了哪些信任边界
据慢雾对后利用代码的分析，攻击方增加了面向钱包存储的处理模块，包括：
- 从 Realm 数据库提取数据；
- 扫描钱包目录中的 keystore 文件；
- 读取 React Native 的 AsyncStorage；
- 处理系统钥匙串及相关密钥材料。
源码中的目标标识涉及 imToken、TokenPocket、TronLink、MetaMask、OKX、Coinbase、Exodus、BitKeep、Gate 和 Trust Wallet 等。这里反映的是攻击代码的目标范围，并不证明每款钱包都已被成功提取数据，也不意味着问题来自钱包应用本身的独立漏洞。
后台的助记词管理页面还列有助记词、私钥、派生地址和链上余额，并提供解密、余额查询与归集功能。其安全含义是：一旦设备层面的隔离被突破，钱包本地存储和密钥材料可能被纳入后续资金操作流程。
原文还描述了两个分工不同的组件：一个负责采集数据，另一个注入 SpringBoard 接收指令。后者的代码注释称其运行至设备重启。因此，不宜将这段描述直接理解为已证实具备跨重启持续驻留能力。
即时通讯功能同样需要保留边界。调查发现 WhatsApp、Telegram 等页面及配套读取代码，但也存在“待解密”状态和接口未就绪时展示示例数据的逻辑，不能据此宣称已完成大规模账号接管。
钱包用户的处置重点
原文提出的防护建议集中在系统更新、减少可疑链接暴露，以及疑似失陷后的凭据更换：
- 保持 iOS 为最新版本，避免长期停留在旧版本。
- 不要访问来源不明的链接，尤其警惕短信、私信中的短链。该类攻击可能在页面打开后触发，而不需要用户继续点击或输入助记词。
- 若曾停留在可疑落地页，按凭据可能泄露处置：在未访问该页面的设备上新建钱包、生成新助记词并转移资产；旧助记词和私钥不再复用。
- 检查各链账户的异常转账与授权记录，撤销不再使用的授权，并保留 Safari 历史、崩溃记录和异常交易记录。
这份调查的核心警示是：钱包安全依赖的不只是助记词是否被手动交出，也包括承载钱包的操作系统和应用隔离边界。同时，对攻击能力的判断必须区分宣传范围、代码实现、后台登记与实际成功证据，避免把尚在调试的载荷或页面访问记录误写成已确认失陷。
来源：慢雾《威胁情报｜DarkSword 木马后台及 iOS 攻击链分析》，2026 年 10 月 19 日 17:00（UTC+8）。