2025 年末：攻击者掌握 DarkSword，包含多个 0-day 漏洞。
2026 年初：Apple 陆续修复部分漏洞。
2026 年 3 月：Google GTIG、Lookout 公开披露 DarkSword，确认相关漏洞在 iOS 26.3 中全部修复。
2026 年 9 月：攻击者重启该工具链，重点针对运行 iOS 18.4～18.6.2 的设备，定向窃取加密钱包资产。
SlowMist 并非简单推测，而是从真实恶意站点的 Loader 入手，层层还原了 JavaScript 加载、沙盒逃逸、内核提权及数据窃取的全过程，并将本地攻击阶段与 DarkSword 已知的 6 个 CVE 漏洞精确映射。
不仅看到了“攻击结果”，更完整还原了攻击链的拼接逻辑。
一、攻击入口：伪装成免费 VPS 网站
攻击始于一个号称提供免费 VPS 服务的网站（event.polarnode.vip）。该域名于 2026 年 8 月底注册，页面预加载远程恶意脚本 lk.wyincc.com/lk.js。
用户只需访问页面，无需任何点击交互，攻击代码便会自动加载执行。这是一种典型的“路过式下载”攻击模式。
攻击流程：用户访问页面 → 自动加载攻击代码。
二、精准筛选：仅针对特定 iOS 版本与 Safari
恶意脚本首先进行环境检测，仅允许特定设备继续后续攻击链：
- 目标设备：iPhone + iOS 18.4–18.6.x
- 目标浏览器：Safari
Chrome、Firefox、Opera、Edge 以及微信、QQ、支付宝等内置 WebView 均被排除。若用户使用非 Safari 浏览器，页面会引导其切换至 Safari 打开。这表明攻击者是针对特定系统版本和浏览器进程结构进行了高度适配，甚至为 iOS 18.4/18.5 与 18.6 准备了不同的利用代码。
三、技术还原：六重漏洞构建完整攻击链
SlowMist 将攻击过程划分为四个阶段：RCE（远程代码执行）→ SBX0（首次沙盒逃逸）→ SBX1（二次沙盒逃逸）→ PE（权限提升），并对应到 6 个具体 CVE 漏洞。
第一阶段：控制 Safari 执行环境（RCE）
针对 iOS 18.4/18.5，攻击者利用以下组合：
- CVE-2025-31277：JavaScriptCore 引擎中的类型混淆漏洞。攻击者通过精心构造的 JS 代码误导 JIT 优化，实现内存任意读写。该漏洞已于 iOS 18.6 修复。
- CVE-2026-20700：dyld 内存破坏漏洞，用于绕过用户态指针认证（PAC）。该漏洞在 iOS 26.3 及 iOS 18.7.7 中修复。
针对 iOS 18.6，由于 31277 已修复，攻击者替换为：
- CVE-2025-43529：WebKit 中的释放后使用（UAF）漏洞，作用同 31277，用于获取浏览器进程控制权。该漏洞在 iOS 26.2/iOS 18.7.3 中修复。
- CVE-2026-20700：同上，用于绕过 PAC 保护。
第二阶段：首次沙盒逃逸（SBX0）
- CVE-2025-14174：ANGLE 图形组件中的边界检查漏洞。攻击者利用 WebGL 调用触发越界内存操作，从 Safari WebContent 进程逃逸至权限更高的 GPU 进程。该漏洞在 iOS 26.2/iOS 18.7.3 中修复。
第三阶段：二次沙盒逃逸（SBX1）
- CVE-2025-43510：XNU 内核写时复制（Copy-on-Write）机制缺陷。攻击者借此在 mediaplaybackd（媒体播放服务）进程中建立任意函数调用能力，将其作为通往内核的跳板。该漏洞在 iOS 26.1/iOS 18.7.2 中修复。
第四阶段：内核提权（PE）
- CVE-2025-43520：XNU 内核虚拟文件系统（VFS）中的竞态条件漏洞。利用此漏洞可建立物理/虚拟内存读写能力，彻底打穿 iOS 权限边界。该漏洞在 iOS 26.1/iOS 18.7.2 中修复。
攻击链总结：
- CVE-2025-43529/31277：实现 Safari RCE
- CVE-2026-20700：绕过 PAC
- CVE-2025-14174：WebContent → GPU
- CVE-2025-43510：GPU → mediaplaybackd
- CVE-2025-43520：Kernel Read/Write
四、指纹验证：确认为 DarkSword 家族
除 CVE 映射外，代码指纹也高度吻合。SlowMist 在样本中发现了 MigFilterBypass、Chain.runPE()、startSandworm 等 DarkSword 特有标识，且其版本分流逻辑（18.4/18.5 与 18.6 区分处理）与 Google GTIG 的分析完全一致。
五、窃密手段：全方位渗透系统核心
攻击成功后，恶意插件注入 SpringBoard、securityd 和 kbd 三个关键系统进程，实施三类窃取：
1. 文件搜刮（sync.js + SpringBoard）
递归枚举 App Containers、AppGroups 及指定绝对路径，分块上传数据库、配置文件及缓存数据，具备极强的文件搜集灵活性。
2. 直接读取钥匙串（auth.js + securityd）
恶意代码直接在 securityd 内部运行，调用私有类 SecDbKeychainItemV7，利用系统自身解密机制直接读取 keychain-2.db 中的敏感字段（genp/inet 记录），无需离线爆破。
3. 键盘记录（input.js + kbd）
监控前台应用，当 imToken、TokenPocket、TronLink 等特定钱包运行时，直接读取键盘内部变量（如_inputString），在输入结束或切换应用时上报密码。
六、受影响范围评估
- 实锤高风险：iOS 18.4 - 18.6.2。完整 DarkSword 攻击链可用。
- 疑似风险：iOS 15.2 - 17.1。发现指向/group.html 的分支，但具体内容因 WAF 拦截未获取。
七、黑产新趋势：攻击能力商品化
DarkSword 已从“国家级定向武器”演变为“可规模化运营的黑产工具”。随着漏洞细节公开，攻击链被封装成 SaaS 系统，黑产团伙无需高超技术，仅需购买服务并通过广告买量即可批量攻击。这种模式大幅降低了攻击门槛，导致针对中国加密货币用户的盗币案件激增。
攻击经济模型已转变为：购买漏洞系统 → 广告批量获客 → 自动筛选目标 → 执行攻击链 → 变现数据。
八、安全建议与版本修复情况
根据漏洞修复进度，各版本安全风险如下：
- iOS 18.4 – 18.7.1：高风险。完整攻击链可用，建议立即升级。
- iOS 18.7.2：部分修复。切断了沙盒逃逸和提权环节，但入口漏洞仍存在。
- iOS 18.7.3 – 18.7.6：风险降低。主要入口和首次逃逸被修复，但 PAC 绕过漏洞（CVE-2026-20700）尚未回补。
- iOS 18.7.7 及以上：安全节点。iOS 18 分支的关键漏洞全部完成闭环修复。
- iOS 26.0 – 26.2：逐步修复。尚未补齐所有六个漏洞。
- iOS 26.3 及以上：完全修复。DarkSword 涉及的六个已知 CVE 全部修补完毕。
结论：为确保安全，iOS 18 用户请升级至 18.7.7 或更高版本；iOS 26 用户请升级至 26.3 或更高版本。