Malware P7 DarkSword Intai Pengguna iPhone, Bisa Kuras Dompet Digital
PerbesarPerusahaan keamanan siber iVerify mengungkap varian baru malware bernama P7 DarkSword yang dikaitkan dengan rangkaian peretasan pada perangkat iPhone. Malware ini ditemukan saat iVerify menyelidiki infeksi pada iPhone milik seorang karyawan lembaga keuangan pada Agustus 2026.
Dalam laporan terbaru iVerify menjelaskan bahwa P7 DarkSword merupakan varian yang belum pernah teridentifikasi. Malware ini memiliki kemampuan mencuri data sensitif, termasuk informasi dari Keychain iPhone dan dompet kripto, serta memungkinkan penyerang mengendalikan perangkat yang telah terinfeksi melalui komunikasi dua arah.
Daftar isi
Daftar isi
Daftar isi
Latar Belakang DarkSword dan Coruna
Awal tahun 2026, Google dan iVerify mengungkap dua kasus peretasan terhadap perangkat iPhone yang dilakukan oleh malware Coruna dan DarkSword. Keduanya memanfaatkan rangkaian kerentanan pada iOS untuk membobol perangkat yang menjalankan versi sistem operasi lama.
Dalam kasus DarkSword, setelah berhasil menyusupi iPhone, penyerang dapat memasang malware tambahan untuk masuk ke data sensitif pengguna. Coruna menargetkan perangkat yang menjalankan iOS 13 hingga iOS 17.2.1, sedangkan DarkSword mengintai iPhone dengan iOS 18.4 hingga iOS 18.7.
Temuan ini bikin Apple merilis pembaruan sistem untuk sejumlah versi iOS lama yang terdampak, termasuk iOS 15.8.7, iOS 16.7.15, dan iOS 18.7.7. Apple bahkan mengambil langkah yang tak biasa dengan menyediakan iOS 18.7.7 bagi perangkat yang sebenarnya dapat menjalankan iOS 26. Dengan begitu, pengguna yang memilih tidak memperbarui sistem ke versi terbaru tetap mendapatkan perlindungan terhadap DarkSword.
Saat itu, Google menyebut DarkSword digunakan oleh sejumlah penyedia layanan pengawasan komersial dan pihak yang diduga disponsori negara. Serangan terpantau menyasar target di Arab Saudi, Turki, Malaysia, dan Ukraina.
Varian P7 DarkSword Lebih Sulit Dideteksi
Dalam laporan terbarunya, iVerify menyebut P7 DarkSword ditemukan ketika mereka menyelidiki infeksi pada perangkat iPhone seorang karyawan lembaga keuangan, Agustus 2026 lalu. P7 berasal dari penggunaan awalan variabel p7_ oleh pelaku ketika memodifikasi kode asli DarkSword.
Dilansir 9to5Mac, P7 memperluas kompatibilitas DarkSword hingga iOS 18.7. Varian yang sebelumnya dipantau diketahui hanya mendukung hingga iOS 18.6. Sementara sejumlah penyebaran DarkSword lain yang diamati Google telah mendukung iOS 18.7.
Pelaku di balik P7 menyebarkan malware melalui iklan berbahaya sebagai bagian dari serangan watering hole. Dalam metode ini, penyerang menyusup atau memanfaatkan situs web yang dikunjungi calon korban. Artinya, malware ini dapat menyusupi iPhone dengan pintu masuk yang lebih luas.
Dibandingkan varian sebelumnya, P7 meningkatkan kemampuan varian sebelumnya dalam tiga aspek utama, yakni penyamaran, stabilitas, dan fungsionalitas.
Salah satu kemampuan paling menonjol dari P7 DarkSword adalah mengambil data Keychain langsung di iPhone sebelum mengirimkannya ke penyerang. Keychain merupakan fitur iOS yang menyimpan informasi sensitif, seperti kredensial dan data autentikasi. Alih-alih menyalin seluruh database keychain untuk diproses di tempat lain, P7 justru dapat mengekstrak Keychain langsung di iPhone sebelum mengirimkannya ke hacker.
Malware P7 DarkSword juga dapat menargetkan data dompet kripto, dan mereka memiliki mekanisme komunikasi dua arah yang lebih canggih dengan infrastruktur command-and-control (C2), yakni sistem yang digunakan hacker untuk mengirim perintah kepada perangkat yang terinfeksi. Komunikasi dua arah tersebut memberi hacker kendali lebih besar atas perangkat korban.
Selain itu, P7 juga dapat menerima perintah untuk mengambil berkas apa pun, mengunggah foto, mendata aplikasi yang terpasang, mengakses basis data Apple Notes, mengumpulkan data dari aplikasi tertentu, hingga memindai sistem berkas perangkat.
Secara bawaan, spyware ini akan memeriksa server C2 milik penyerang setiap 15 detik untuk mencari instruksi baru. Namun, interval pemeriksaan tersebut dapat diubah dari jarak jauh.
iVerify menilai perubahan tersebut menunjukkan adanya pengembangan signifikan oleh sang kreator malware, bukan sekadar modifikasi sederhana yang dibantu AI. P7 juga disebut jauh lebih baik dalam menyembunyikan diri dan membersihkan jejak aktivitasnya. Akibatnya, indicators of compromise/IOC yang digunakan untuk mendeteksi varian sebelumnya tidak lagi bisa diandalkan untuk mengenali P7.
iVerify menegaskan bahwa P7 bukanlah kerentanan iOS baru, melainkan varian baru malware yang disebarkan setelah eksploitasi DarkSword berhasil dilakukan. Meski demikian, iVerify tidak mengungkap versi iOS yang berjalan pada perangkat tempat P7 DarkSword ditemukan pada Agustus 2026.