Säkerhetsforskare från Google, Lookout och iVerify varnar för en ny, sofistikerad attack kallad ”DarkSword” som riktar sig mot iPhone-användare. Sårbarheten drabbar enheter som fortfarande kör äldre versioner av iOS 18 (från 18.4 till 18.7), trots att Apple nyligen har gått över till iOS 26.
Enligt Google har attacken använts sedan november 2025 av både kommersiella övervakningsbolag och misstänkta statsaktörer för att komma åt enheter i Saudiarabien, Turkiet, Malaysia och Ukraina.
Hit-and-run-attacker mot krypto-plånböcker
Attacken beskrivs som en så kallad ”1-click”-exploit. Det räcker med att en användare besöker en infekterad webbsida i Safari för att kedjan av sårbarheter ska aktiveras. DarkSword utmärker sig genom sin snabbhet; istället för långvarig övervakning använder förövarna en ”hit-and-run”-taktik.
”DarkSword tycks använda en hit-and-run-metod där den samlar in och skickar vidare data från enheten inom loppet av sekunder eller på sin höjd minuter, följt av en rensning”, skriver Lookout i sin rapport.
I Ukraina har den misstänkta ryska hackergruppen UNC6353 använt metoden för att manipulera statliga webbadresser (gov.ua) och nyhetssajter. Målet har främst varit att stjäla känslig information och komma åt filer kopplade till kryptovalutor. Namnet på attacken kommer från en specifik kodrad som används för att stjäla lösenord till trådlösa nätverk:
”Namnet DarkSword kommer från variabeln inuti implantatkoden som extraherar wifi-lösenord från systemet: const TAG = ’DarkSword-WIFI-DUMP’”, tillägger iVerify.
Global spridning via övervakningsbolag
Googles utredning visar att DarkSword har spridits genom flera olika aktörer:
-
Saudiarabien: En grupp använde en falsk Snapchat-sida för att infektera besökare.
-
Turkiet och Malaysia: Det turkiska övervakningsbolaget PARS Defense har använt verktyget för att installera bakdörrar i måltavlor i båda länderna.
Forskarna upptäckte DarkSword under arbetet med ett annat verktyg kallat ”Coruna”, som tros ha utvecklats av en amerikansk militärleverantör innan det hamnade på den svarta marknaden.
Så skyddar du dig
Apple har redan täppt till de sex sårbarheter som DarkSword utnyttjar i och med lanseringen av iOS 26.3. Användare som fortfarande kör iOS 18 rekommenderas starkt att uppdatera till iOS 18.7.6 eller gå över till iOS 26. För de som inte kan uppdatera omedelbart rekommenderas ”Låst läge” (Lockdown Mode), vilket blockerar denna typ av avancerade webbattacker.
