Коротко: 8 октября 2026 года компания iVerify опубликовала результаты расследования нового штамма шпионского ПО для iPhone — P7 DarkSword, усиленной модификации известного набора эксплойтов DarkSword. Заражение происходит без установки приложения — через вредоносную рекламу и скомпрометированные сайты (watering-hole). Зловред ворует пароли из связки ключей, фотографии, заметки и данные криптокошельков, а с сервером атакующих связывается каждые 15 секунд. Уязвимы устройства на iOS 18.4–18.7; Apple закрыла проблему обновлением 18.7.7.
Один из характерных первых сигналов заражения шпионским ПО — резкий рост расхода трафика и батареи в фоне, который разбирается в материале о признаках взлома телефона. Если ваш iPhone ведёт себя похожим образом, проверку стоит начать именно с этого чек-листа.
Что обнаружили исследователи iVerify
Специалисты iVerify выявили P7 во время расследования заражения на устройстве сотрудника финансовой организации в августе 2026 года, а результаты опубликовали 8 октября. Название P7 закрепилось из-за характерного префикса p7_ в переменных кода, которым атакующие пометили доработанную версию исходного DarkSword. По сравнению с предыдущими версиями P7 заметно снизил «цифровой след» на устройстве и добавил двустороннюю связь с серверами управления.
Как происходит заражение — без установки приложений
Распространение идёт через вредоносную рекламу в рамках атак типа watering-hole: жертва не является целью персональной атаки, а просто натыкается на заражённый баннер или скомпрометированный сайт в обычном браузере. Для срабатывания эксплойта достаточно загрузки специально подготовленного веб-контента — устанавливать что-либо вручную не требуется.
Что именно крадёт P7 DarkSword
По данным расследования, зловред извлекает данные связки ключей iOS прямо на устройстве, информацию об установленных криптокошельках (отдельно упоминается imToken), фотографии, содержимое заметок Apple Notes, список установленных приложений и данные внутри контейнеров отдельных приложений. Связь с серверами атакующих — двусторонняя: зловред опрашивает command-and-control каждые 15 секунд по умолчанию (интервал можно менять удалённо), что позволяет оператору запрашивать конкретные файлы или отдавать команды в реальном времени.
Кто в зоне риска и какие версии iOS уязвимы
Эксплойт работает на iOS версий 18.4, 18.5, 18.6 и 18.7 — то есть на всех устройствах, которые не обновились до патченой версии. Поскольку распространение идёт через рекламные сети и заражённые сайты, а не целевой фишинг, в зоне риска — любой пользователь iPhone с устаревшей прошивкой, а не только журналисты или активисты, на которых обычно охотится классический шпионский софт такого уровня.
Как защититься
- Обновите iPhone до iOS 18.7.7 или новее (на актуальных линейках — iOS 26.4 и выше); Apple закрыла уязвимость этим патчем 24 марта 2026 года.
- Включите Lockdown Mode в настройках приватности, если вы в группе повышенного риска (журналист, активист, сотрудник с доступом к крипто-активам компании) — режим отключает часть функций, но резко сужает поверхность атаки.
- Не открывайте подозрительные баннеры и всплывающие окна в браузере, особенно на незнакомых сайтах — именно так распространяется P7.
- Проверьте список приложений с доступом к Keychain и криптокошелькам, если подозреваете заражение — общий порядок действий при компрометации устройства описан в материале о защите аккаунта от взлома.
- Как распознать инфостилеры и чем они отличаются от классического шпионского ПО — разобрано в статье про инфостилеры и кражу паролей.
VPN не закрывает уязвимость самой iOS и не остановит exploit, срабатывающий при загрузке заражённой страницы, — здесь решает только обновление прошивки. Но шифрование трафика LiMP VPN снижает риск того, что вредоносная реклама подменится именно на вашем соединении через незащищённую сеть, например в кафе или аэропорту — подробности на странице тарифов.