P7 DarkSword, iOS 지갑 탈취와 원격 명령 추가

P7 DarkSword, iOS 기기에서 지갑 정보 탈취와 원격 명령 추가

• iVerify가 공개한 P7 DarkSword는 기기 내 흔적을 줄이고 키체인·암호화폐 지갑을 훔치며 공격자와 양방향 통신하는 변종이다.
• DarkSword는 iOS 18.4~18.7에서 브라우저 보안영역을 탈출해 커널 권한을 얻고 SpringBoard에 페이로드를 주입하는 구조다.
• P7은 15초마다 명령을 확인하고 하트비트를 보내며 설치 앱·iCloud 키체인·Notes·Photos·지갑 데이터를 전송한다.
• DarkSword는 2025년 11월 실제 탐지됐고 P7 배포에 쓰인 ecomtrack.io는 2026년 9월 15일 재등록돼 악성 자바스크립트를 전달했다.
• 공격자는 만료 도메인의 추적 태그와 가짜 암호화폐 사이트를 이용해 유입자를 선별하므로 국내 전자상거래와 모바일 위협 탐지가 함께 필요하다.
• 한국은 모바일 신원·지갑정보 보호를 위해 iOS 위협정보 공유, 광고태그 검증, 기업의 신속한 업데이트 지원을 산업정책에 반영해야 한다.

P7은 단순 악성 앱이 아니라 브라우저·공급망 태그·원격 명령을 결합한 침투 체계다. 정부는 민관 공동탐지와 모바일 포렌식 역량을 즉시 강화해야 한다.

주요 용어: SpringBoard(iOS 홈 화면과 앱 실행을 담당하는 시스템 프로세스), C2(감염 기기와 공격자 서버 사이의 명령·통신 체계)

출처: The Hacker News