Một biến thể mới mang tên P7 DarkSword thuộc dòng phần mềm gián điệp tinh vi vừa được các chuyên gia an ninh mạng phát hiện. Loại mã độc này sở hữu khả năng ngụy trang xuất sắc, đánh cắp các dữ liệu nhạy cảm quan trọng và trao cho kẻ tấn công quyền kiểm soát iPhone từ điều khiển từ xa. Các nhà nghiên cứu cũng cảnh báo rằng mã độc này có thể lây lan rộng rãi thông qua các chiến dịch quảng cáo độc hại, biến bất kỳ người dùng nào thành nạn nhân tiềm năng mà không cần phải là mục tiêu định sẵn.
Biến thể p7 darksword xuất hiện với mức độ nguy hiểm gia tăng
Vào đầu tháng 10, công ty an ninh mạng iVerify đã công bố báo cáo chi tiết về P7 DarkSword - một phiên bản chưa từng ghi nhận trước đó, xuất phát từ chuỗi lỗ hổng khai thác trên hệ điều hành iOS. Cuộc điều tra bắt nguồn từ tháng 8 khi một thiết bị iPhone của nhân viên làm việc tại một tổ chức tài chính bị nhiễm mã độc này.
Trước đó, vào đầu năm nay, Google và iVerify từng cảnh báo về hai công cụ tấn công iPhone có tên là Coruna và DarkSword. Cả hai bộ công cụ này đều tận dụng các lỗ hổng bảo mật chưa được vá trong những phiên bản iOS cũ để xâm nhập thiết bị:
- Công cụ Coruna tập trung tấn công các dòng máy vận hành trên nền tảng từ iOS 13 đến iOS 17.2.1.
- Công cụ DarkSword lại nhắm vào các thiết bị đang sử dụng phiên bản từ iOS 18.4 đến iOS 18.7.
Ngay sau khi chiếm quyền kiểm soát, kẻ xấu có thể cài cắm thêm nhiều mã độc phụ trợ nhằm thu thập toàn bộ dữ liệu quan trọng lưu trữ trên máy. Để khắc phục, Apple đã triển khai các bản vá khẩn cấp cho những dòng iOS cũ như iOS 15.8.7, iOS 16.7.15 và đặc biệt là iOS 18.7.7. Hãng công nghệ này thậm chí còn cung cấp bản cập nhật iOS 18.7.7 cho cả các thiết bị có khả năng nâng cấp lên iOS 26, nhằm bảo vệ người dùng chưa muốn thay đổi hệ điều hành trước các nguy cơ hiện hữu từ DarkSword.
Các dữ liệu tình báo từ Google cho hay, DarkSword từng được sử dụng bởi nhiều nhà cung cấp dịch vụ giám sát thương mại và có nghi vấn liên quan đến các nhóm hacker được nhà nước hậu thuẫn, với các chiến dịch tấn công đã ghi nhận tại Ukraine, Thổ Nhĩ Kỳ, Saudi Arabia và Malaysia.
Những cải tiến vượt trội giúp p7 darksword qua mặt bảo mật
Theo phân tích từ iVerify, phiên bản P7 DarkSword mang đến ba cải tiến cốt lõi so với các biến thể tiền nhiệm, bao gồm khả năng vận hành bí mật tối đa, độ ổn định được củng cố và tập tính năng mở rộng phong phú hơn.
Để giảm thiểu dấu vết để lại trên hệ thống, mã độc hạn chế tối đa việc ghi nhật ký hệ thống và giảm số lần can thiệp mã vào các tiến trình đang hoạt động. Thêm vào đó, nó tận dụng dữ liệu lưu trữ sẵn có của trình duyệt web nhằm tránh việc lặp lại khai thác trên cùng một thiết bị, qua đó né tránh sự quét dọn của các phần mềm bảo mật.
Về khả năng tương thích, P7 hỗ trợ tốt các thiết bị chạy iOS 18.7, mở rộng hơn so với các thế hệ trước chỉ dừng lại ở iOS 18.6. Điểm đáng sợ nhất là cơ chế trích xuất dữ liệu trực tiếp từ Keychain - hệ thống lưu trữ mật khẩu, thông tin xác thực và dữ liệu nhạy cảm của Apple - ngay trên thiết bị mà không cần phải sao chép toàn bộ cơ sở dữ liệu sang nơi khác để xử lý.
Ngoài ra, P7 DarkSword còn tích hợp thêm module chuyên dụng để quét và đánh cắp thông tin từ các ứng dụng ví tiền điện tử, mang lại nguồn lợi tài chính trực tiếp cho các nhóm tội phạm mạng.
Khả năng điều khiển iphone từ xa thông qua hạ tầng c2
Một bước tiến lớn của biến thể P7 chính là thiết lập kênh liên lạc hai chiều liên tục với hệ thống máy chủ chỉ huy và điều khiển (C2). Nhờ kết nối này, mã độc không chỉ truyền tải dữ liệu trộm được mà còn tiếp nhận các tập lệnh từ xa để thực thi hàng loạt thao tác trái phép.
Các chức năng thực thi từ xa của mã độc p7
- Truy xuất các tệp tin bất kỳ theo ý muốn của kẻ tấn công.
- Tải lên hình ảnh cá nhân lưu trên máy về máy chủ trung tâm.
- Lập danh sách toàn bộ các ứng dụng đã được cài đặt trên thiết bị.
- Truy cập sâu vào cơ sở dữ liệu của ứng dụng Apple Notes.
- Thu thập dữ liệu riêng tư từ từng phân vùng lưu trữ của từng ứng dụng.
- Quét toàn diện hệ thống tệp tin có trên iPhone.
Thông số mặc định cho thấy mã độc này sẽ liên lạc với máy chủ C2 cứ sau mỗi 15 giây để nhận lệnh mới. Tuy nhiên, khoảng thời gian này có thể thay đổi linh hoạt từ máy chủ điều khiển tùy thuộc vào chiến dịch tấn công cụ thể.
Góc nhìn chuyên gia kỹ thuật từ TTC Việt Nam: Các cuộc tấn công mạng hiện đại như sự việc của P7 DarkSword cho thấy việc chỉ dựa vào các bản cập nhật hệ điều hành là chưa đủ đối với doanh nghiệp và cá nhân. Tại TTC Việt Nam, chúng tôi khuyến nghị người dùng cần trang bị các giải pháp bảo mật mạng toàn diện, kiểm soát chặt chẽ luồng truy cập internet và nâng cao cảnh giác với các hình thức tấn công dựa trên web để bảo vệ tối đa tài sản số trước các nguy cơ gián điệp ngày càng tinh vi.
Biện pháp phòng ngừa và bảo vệ thiết bị trước mối đe dọa từ p7 darksword
Các chuyên gia nhấn mạnh rằng P7 DarkSword không phải là một lỗ hổng iOS độc lập, mà là phần mềm độc hại được cài cắm sau khi thiết bị đã sập bẫy chuỗi khai thác ban đầu. Mặc dù vậy, mức độ nguy hiểm vẫn hiện hữu đối với các thiết bị không duy trì thói quen cập nhật phần mềm thường xuyên.
Để hạn chế tối đa rủi ro nhiễm mã độc, người dùng cần tuân thủ các nguyên tắc bảo mật cơ bản:
- Luôn cập nhật phiên bản iOS và các bản vá lỗi bảo mật mới nhất do Apple phát hành.
- Thận trọng tuyệt đối khi truy cập các liên kết lạ, nhấp vào các banner quảng cáo không rõ nguồn gốc.
- Tránh truy cập vào các trang web có dấu hiệu bất thường hoặc các website bị lợi dụng trong các chiến dịch tấn công phát tán mã độc dạng "watering hole".
Để được tư vấn chi tiết về các giải pháp bảo mật mạng doanh nghiệp, tường lửa thế hệ mới và tối ưu hóa hệ thống viễn thông an toàn, hãy liên hệ ngay với TTC Việt Nam (ttcvn.net) để nhận hỗ trợ chuyên sâu từ đội ngũ kỹ sư giàu kinh nghiệm.
