הטלפון נראה תקין לגמרי. במקביל, רכיב שהושתל בתוך SpringBoard, התהליך שמצייר את מסך הבית ומפעיל את האפליקציות באייפון, פונה לשרת של התוקפים כל 15 שניות ושואל מה הפקודה הבאה. בין הפקודות שהשרת יכול להחזיר: העלה את הפתקים, העלה תמונות מהגלריה, בדוק אילו ארנקי קריפטו מותקנים.

מה קרה

צוות מודיעין האיומים של iVerify פרסם ביום חמישי ניתוח של הדבקה שהתגלתה באוגוסט במכשיר של אחד מלקוחות החברה. ההתראה נראתה שונה במקצת מהרגיל, ובבדיקה הפורנזית התברר שמדובר בגרסה לא מתועדת של DarkSword, ערכת תקיפה לאייפון. החוקרים קראו לגרסה P7, על שם התחילית שהתוקפים השתמשו בה בשמות המשתנים שהוסיפו לקוד המקורי.

DarkSword עצמה תועדה בפומבי לראשונה במארס, על ידי צוות מודיעין האיומים של גוגל, iVerify ו-Lookout, וזוהתה בשטח כבר בנובמבר 2025. הדרך שבה היא עובדת מתחילה בדפדפן: המשתמש פותח עמוד אינטרנט, קוד שמוטמע בעמוד פורץ את ההפרדה שהדפדפן אמור לשמור בין האתר לשאר המכשיר, מטפס להרשאות של ליבת המערכת ומשתיל את המטען בתוך SpringBoard. לשרשרת כזאת, שמחברת כמה חולשות בזו אחר זו עד להשתלטות, קוראים exploit chain. לפי Censys, שתיים מהחולשות שבה הן CVE-2025-24201 ברכיב WebKit, שתוקנה ב-iOS 18.3.2, ו-CVE-2025-31200 ברכיב הקול של המערכת, שתוקנה ב-iOS 18.4.1.

מה שהגרסה החדשה הוסיפה הוא בעיקר איכות השוד. גרסאות קודמות העתיקו את מסד הסיסמאות של המכשיר, ה-Keychain, ושלחו אותו כולו לעיבוד אצל התוקפים, ואילו P7 מחלצת את התוכן על הטלפון עצמו ושולחת רק את התוצאה. היא גם סורקת אילו ארנקי קריפטו מותקנים, מעלה את מסדי הנתונים של אפליקציית הפתקים ומושכת תמונות אחרונות מהגלריה.

את הערכה הזאת, לפי iVerify, בנה גורם מסחרי, והיא הגיעה בשלב מסוים לשוק יד שנייה ומשם לידיים של תוקפים שמונעים מכסף. התקיפות שדווחו עד כה היו בסעודיה, בטורקיה, במלזיה ובאוקראינה, בין השאר דרך אתר שהתחזה ל-Snapchat ודרך הזמנות מזויפות. מי עומד מאחורי כל אשכולות התקיפה לא ידוע.

למה זה חשוב לכם

ה-Keychain הוא המקום שבו האייפון שומר את הסיסמאות שאתם מזינים בספארי ובאפליקציות, ולכן הדבקה אחת מספיקה כדי להוציא את כל האוסף בבת אחת. ובאפליקציית הפתקים אנשים מחזיקים מספרי זיהוי, קודים וצילומי מסך של מסמכים, בלי להתייחס אליה כאל כספת.

יש כאן גם חדשה טובה, והיא ממשית: כל מה שתואר כאן עובד על iOS 18. iVerify מדווחת שהניסיונות להתאים את הערכה ל-iOS 26 נכשלו עד כה.

מה עושים?

עדכנו את האייפון עכשיו, דרך הגדרות, כללי, עדכון תוכנה. הטווח שמופיע בדוחות הוא גרסאות iOS 18.4 עד 18.7.

הפעילו באותו מסך עדכונים אוטומטיים, כדי שהמכשיר לא יחכה להחלטה שלכם בפעם הבאה.

אל תפתחו קישורים מהודעות ומהזמנות שלא ביקשתם, גם כשהן נראות כמו אפליקציה מוכרת. זאת נקודת הכניסה בקמפיינים האלה.

מי שמחזיק מטבעות קריפטו: ביטוי השחזור של הארנק לא אמור להיות שמור בפתקים, בצילום מסך או בסיסמאות הדפדפן.

ומי שתפקידו הופך אותו למטרה, עיתונאים, פעילים ואנשי ציבור, יכול להפעיל באייפון את "מצב נעילה", שמצמצם בכוונה חלק מהיכולות של הדפדפן ושל קבצים נכנסים ומקטין בכך את שטח התקיפה.