Pesquisadores de segurança da informação divulgaram detalhes de uma campanha ativa e multifásica que emprega iscas de engenharia social com temas de atualizações de software da Adobe e Zoom, revisões de documentos de negócios e utilitários de manutenção do sistema para implantar furtivamente programas de Monitoramento e Gerenciamento Remoto (RMM) como o ConnectWise ScreenConnect. A campanha foi codinomeada SMOKE#SCREEN pela Securonix Threat Intelligence.
Modus operandi da campanha
O ataque começa com páginas de login falsas, sites com tema iOS e propriedades web comprometidas que carregam a cadeia de exploração por meio de conteúdo oculto. Uma vez acionado, o DarkSword pode contornar proteções, acessar dados do dispositivo e entregar módulos GHOSTBLADE projetados para coletar keychain, iCloud, Wi-Fi e outros arquivos. A infraestrutura incluiu páginas de console AWS falsas, páginas de coleta de credenciais de ID da Apple e outras frentes de isca descartáveis. Um servidor em Hong Kong, 103.106.190.217, hospedou tanto um disfarce de login com tema da Apple quanto conteúdo de staging do DarkSword, combinando roubo de credenciais e entrega de exploração no mesmo sistema.
Expansão da infraestrutura maliciosa
Os pesquisadores da Censys identificaram o crescimento mais recente da infraestrutura enquanto rastreavam impressões digitais estáticas de páginas web em hosts e domínios de rápida mudança. Suas descobertas mostram que os operadores estão substituindo servidores em dias enquanto retêm conteúdo de painel e página de staging reconhecível. A Censys observou 27 hosts e 180 propriedades web carregando o rótulo DarkSword até 30 de julho de 2026, embora os pesquisadores enfatizassem que isso representa um instantâneo em mudança, não uma lista fixa. Os atores também expuseram vários painéis de operadores em portas incomuns, incluindo 3000, 8443 e 8888.
Vetores de ataque e coleta de dados
Uma vítima que chega a uma página maliciosa recebe uma página de staging que carrega silenciosamente um quadro oculto e seleciona código de exploração com base na versão do iOS. Se o ataque funcionar, os componentes GHOSTBLADE coletam credenciais, dados em nuvem, senhas de Wi-Fi salvas e arquivos antes de enviar os dados para pontos de coleta controlados pelo atacante. Os operadores também tentam remover sinais de comprometimento excluindo relatórios de falhas e RemoteLog.log antes de sair. Seu disfarce de ID da Apple é particularmente notável porque poderia capturar credenciais diretamente, uma tática que espelha o risco de engenharia social visto em campanhas de phishing de ID da Apple.
Recomendações de defesa
Para defensores, o relatório recomenda caçar hashes estáticos de corpo de página e o padrão completo de cinco portas do Decode Dashboard em vez de confiar apenas em listas de bloqueio de domínio ou IP. As equipes devem reexecutar pesquisas de exposição do DarkSword pelo menos semanalmente, pois os hosts e propriedades web giram rapidamente. Usuários de iPhone devem instalar as atualizações do iOS mais recentes disponíveis sem demora. Onde uma atualização imediata não for possível, o Modo de Bloqueio pode adicionar proteção contra ataques baseados em navegador altamente direcionados, enquanto páginas de login inesperadas e links não solicitados devem ser tratados como suspeitos.
Indicadores de comprometimento (IoCs)
Os indicadores incluem hashes SHA-256 de corpo de página para painéis de administração e páginas de staging, como 46a0bd09f145ab909e5bf45fafe906f452f06971bd227653f0c52af8e22da89e para o painel DarkSword Admin. Endereços IP de administração incluem 38.22.89.117:8888 e 103.97.128.67:8888. Domínios base usados em clusters de console AWS falso incluem jkonnet.buzz e tronide.cc. Arquivos de payload mencionados incluem ghostblade.js, keychaincopier.js e wifipasswordsecurityd.js. Os endereços IP e domínios são intencionalmente defanged para prevenir resolução acidental.
O que os CISOs devem fazer imediatamente
As organizações devem monitorar tráfego de saída para portas incomuns e conexões para hosts associados a painéis de exploração. A revisão de logs de proxy e firewall para solicitações a domínios suspeitos listados nos IoCs é essencial. Equipes de SOC devem configurar alertas para detecção de instalação de software RMM não autorizado, especialmente quando disfarçado de atualizações de fornecedores legítimos como Adobe ou Zoom. A implementação de listas de permissão de software pode ajudar a bloquear a execução de binários não assinados ou desconhecidos que tentam se registrar como atualizações de sistema.