所有用户请及时更新iOS 系统

1. 什么是 DarkSword？

**DarkSword** 是 Google 威胁情报团队（GTIG）捕获到的一个针对 iOS 设备的 **零日漏洞完整利用链（Full-chain Exploit）**[cite: 2]。黑客（包括商业间谍软件供应商及国家级 APT 组织）通过该工具对特定目标（如沙特阿拉伯、土耳其、马来西亚和乌克兰等地的用户）发起水坑攻击和社工攻击[cite: 2]。   

2. 漏洞影响与利用机制

- **受影响系统范围：** 覆盖 **iOS 18.4 至 18.7**[cite: 2]。   
- **利用的漏洞（涉及 6 个漏洞组合）：**   
  1. **WebKit / JavaScriptCore 内存损坏漏洞（CVE-2025-31277、CVE-2025-43529）：** 攻击者诱导用户使用 Safari 访问恶意网页，即可在 JavaScript 层拿到任意读/写（R/W）能力[cite: 2]。   
  2. **绕过 PAC（CVE-2026-20700）：** 绕过 `dyld` 中的指针身份验证（Pointer Authentication Codes），获取系统原生函数调用（Native Call）的能力[cite: 2]。   
  3. **沙箱逃逸与内核提权：** 进一步逃逸 WebContent 浏览器沙箱，并通过内核漏洞拿到系统最高权限（Root）[cite: 2]。   

3. 攻击危害与植入的后门（Malware）

攻破设备后，攻击者会根据不同活动静默植入后门程序（如 **GHOSTKNIFE**、**GHOSTSABER** 或 **GHOSTBLADE**）[cite: 2]，其主要危害包括：   

- **窃取关键数字凭据：** 提取 Keychain 钥匙串数据、各类加密货币钱包私钥与助记词。
- **个人隐私全面暴露：** 静默调取已登录账号、短信/消息、浏览器记录、位置历史、相册数据等[cite: 2]。   
- **实时监控与窃听：** 能够远程拍照（截屏）、通过麦克风录音并静默回传至攻击者控制的 C2 服务器[cite: 2]。   
- **痕迹擦除：** 后门脚本会自动定期清理 Crash 日志（如 WebKit 或 SpringBoard 的崩溃记录），以隐藏入侵痕迹[cite: 2]。   

4. 防范措施与修复建议

1. **更新系统：** Apple 已在 **iOS 26.3**（及后续补充版本）中全面修复了相关漏洞[cite: 2]。请所有用户尽快将 iOS / iPadOS 系统升级至最新版本[cite: 2]。   
2. **启用锁定模式：** 对于无法立即升级系统的设备或高风险受害者，建议开启 Apple 的 **锁定模式（Lockdown Mode）**，该模式可有效拦截绝大多数此类 WebKit 攻击链[cite: 2]。   

附件内容