Предупреждение CertiK опубликовано в её аккаунте в X. Эксплойт-кит — набор готовых средств для взлома устройства. По данным Google Threat Intelligence Group, DarkSword — цепочка из шести уязвимостей, которая работает на iOS 18.4–18.7. После успешной атаки на телефон устанавливается одна из трёх вредоносных программ: GHOSTBLADE, GHOSTKNIFE или GHOSTSABER.
Google сообщила Apple об этих уязвимостях в конце 2025 года. Все они закрыты с выпуском iOS 26.3, большинство — раньше. Google рекомендует обновить iOS до последней версии, а если обновить нельзя — включить Lockdown Mode, режим усиленной защиты системы.
Google фиксировала кампании с DarkSword в Саудовской Аравии, Турции, Малайзии и Украине, начиная как минимум с ноября 2025 года. В украинских кампаниях цепочку доставляли через взломанные сайты. Google добавила домены доставки в Safe Browsing, фильтр, который предупреждает о вредоносных сайтах в браузере.
По описанию Google, GHOSTBLADE собирает данные криптокошельков, связку ключей, сообщения, историю Safari и базу приложения «Заметки».
Отдельно компания iVerify 8 октября описала вариант P7 DarkSword, найденный при расследовании заражения в августе 2026 года. По её данным, этот вариант крадёт связку ключей и данные криптокошельков прямо на телефоне. CertiK не назвала версию, о которой предупредила, поэтому связь её предупреждения с P7 не подтверждена.
