DarkSword: nova cadeia de exploits põe milhões de dispositivos Apple em risco

O Google Threat Intelligence Group (GTIG), em coordenação com Lookout e iVerify, identificou uma ameaça móvel complexa batizada de DarkSword. Essa cadeia de exploração full-chain aproveita seis vulnerabilidades zero-day para comprometer de forma integral dispositivos iOS, configurando um novo padrão operacional em cenários geopolíticos sensíveis.

Segundo o monitoramento do GTIG, o conjunto de ferramentas foi adotado por diversos atores — de fornecedores de vigilância comercial a grupos estatais — e direcionado a alvos na Arábia Saudita, Turquia, Malásia e Ucrânia. A difusão entre operadores distintos reflete um mercado secundário cada vez mais ativo na troca de instrumentos de espionagem digital avançada.

Do ponto de vista técnico, DarkSword é compatível com as versões de iOS entre 18.4 e 18.7 e explora seis falhas para instalar payloads finais ligados às famílias de malware GHOSTBLADE, GHOSTKNIFE e GHOSTSABER. Entre os grupos que incorporaram o exploit está o cluster UNC6353, historicamente associado a campanhas de espionagem, que passou a utilizar DarkSword em ataques do tipo watering hole. As vulnerabilidades identificadas incluem erros na gestão de memória do JavaScriptCore (CVE-2025-31277 e CVE-2025-43529) e um bypass dos Pointer Authentication Codes (PAC) no dyld (CVE-2026-20700).

Um caso de estudo documentado descreve a atuação do grupo UNC6748: em novembro de 2025, operadores distribuíram um site falso com tema Snapchat para alvos na Arábia Saudita. O fluxo de infecção usou JavaScript ofuscado e IFrames dinâmicos para evitar reinfecções e dificultar a análise forense. O loader foi adaptado para recuperar um payload RCE, simulando comportamento de apps legítimos enquanto exfiltrava dados.

A Apple lançou correções com o patch de iOS 26.3, mas a persistência de ataques com ferramentas como DarkSword destaca duas verdades operacionais: atualizações rápidas são essenciais e, para perfis de risco elevado, a ativação imediata do Lockdown Mode é uma medida compensatória válida enquanto a superfície de ataque não for reduzida.

Do ponto de vista da infraestrutura digital, DarkSword funciona como uma falha no «alicerce» do ecossistema móvel — um ponto de colapso que compromete o fluxo de dados e a integridade do sistema nervoso das cidades conectadas. A pesquisa conjunta do GTIG com Lookout e iVerify permitiu mapear domínios maliciosos e alimentar protocolos de bloqueio (Safe Browsing), reduzindo janelas de exposição operacional.

Recomendações pragmáticas para reduzir risco imediato:

• Aplicar as atualizações oficiais da Apple sem demora.
• Ativar o Lockdown Mode para contas e dispositivos em perfis de alto risco.
• Monitorar comunicações e domínios listados por fornecedores de threat intelligence e adotar bloqueios a nível de rede.
• Manter backups e canais de resposta a incidentes preparados, pois a cadeia completa de exploração permite persistência sofisticada.

Como analista, vejo DarkSword como mais um indicativo de que as camadas de inteligência e telemetria são o que sustentam a resiliência do espaço digital. Não se trata apenas de consertar uma falha, mas de fortalecer a arquitetura — os alicerces digitais — que mantém o fluxo de serviços essenciais em países e cidades. Para usuários e administradores na Itália e na Europa, a mensagem é clara: atualize, segmente privilégios e trate o dispositivo móvel como uma peça crítica da infraestrutura urbana.