Kit Eksploitasi iOS Incar Dompet Kripto

Kit Eksploitasi iOS Incar Dompet Kripto – Dunia keamanan siber kembali dikejutkan oleh temuan varian terbaru dari toolkit eksploitasi iOS yang dikenal sebagai DarkSword.

Varian baru yang dijuluki P7 DarkSword ini hadir dengan kemampuan yang jauh lebih senyap, modular, dan berbahaya dibandingkan versi pendahulunya.

Berdasarkan laporan terbaru dari perusahaan keamanan seluler, P7 DarkSword dirancang khusus untuk mengurangi jejak digital di perangkat korban.

Sekaligus menambahkan fitur pencurian data dompet kripto (crypto-wallet), keychain, serta komunikasi dua arah langsung dengan infrastruktur pengendali penyerang (Command and Control atau C2).

Asal-Usul dan Evolusi Kit Eksploitasi DarkSword

Toolkit DarkSword pertama kali didokumentasikan secara publik pada Maret 2025 oleh kelompok peneliti ancaman global, menyusul deteksi aktivitasnya di alam liar sejak akhir 2024.

Perangkat eksploitasi ini direkayasa untuk merangkai beberapa kerentanan iOS sekaligus guna menjebol sandbox peramban, meningkatkan hak akses hingga tingkat kernel.

Dan menyuntikkan payload utama ke dalam SpringBoard (proses sistem iOS yang mengatur peluncuran aplikasi dan layar utama).

Awalnya, rangkaian eksploitasi ini diduga merupakan produk komersial kelas atas yang akhirnya bocor ke pasar gelap (second-hand market).

Sejak saat itu, berbagai kelompok peretas bermotif finansial hingga vendor pengawas komersial memanfaatkan kit ini untuk menargetkan pengguna di berbagai negara, termasuk:

Arab Saudi.
Turki.
Malaysia.
Ukraina.

Nama “P7” sendiri diambil dari kebiasaan baru aktor ancaman yang menggunakan prefiks variabel p7_ dalam modifikasi kode sumber DarkSword asli.

Fitur Utama dan Peningkatan Berbahaya

Dibandingkan versi lamanya, P7 DarkSword membawa sejumlah pembaruan teknis yang berfokus pada stabilitas, kerahasiaan, dan kualitas data curian:

Varian ini menghilangkan pencatatan debug melalui permintaan HTTP dan syslog, serta memanfaatkan browser localStorage untuk mencegah eksploitasi berulang yang mencurigakan.
Alih-alih menyalin dan mengeksfiltrasi basis data keychain mentah ke server penyerang, versi baru ini langsung mengekstrak data keychain ke dalam format JSON langsung di dalam ponsel korban sebelum dikirimkan.
Karena implan disuntikkan langsung ke dalam proses SpringBoard, perangkat korban secara berkala (setiap 15 detik) akan mengirimkan heartbeat, daftar aplikasi terinstal, serta informasi Keychain iCloud ke server penyerang.

Selain itu, operator dapat memberikan berbagai perintah jarak jauh (remote tasking) kepada perangkat yang terinfeksi, seperti:

Menjalankan perintah sistem operasi dasar (ls, ps, memdump, netstat, dll.)
Mengunggah file foto dari direktori galeri (Apple Photos dan direktori DCIM)
Memindai dan mengekstrak data aplikasi dompet kripto (crypto-wallets)
Menyedot basis data catatan (Apple Notes)
Memindai seluruh sistem file secara rekursif dari direktori root (/)

Penyebaran Melalui Startup E-Commerce Kedaluwarsa

Temuan menarik lainnya menunjukkan bagaimana P7 DarkSword didistribusikan. Peneliti menemukan bahwa peretas memanfaatkan domain analitik e-commerce asal Ceko yang sudah tidak aktif (ecomtrack[.]io) setelah masa berlakunya habis.

Domain tersebut dibeli kembali oleh pihak tak dikenal dan disisipi skrip JavaScript berbahaya. Akibatnya, situs-situs online yang masih memasang tracking tag dari layanan analitik lama tersebut secara otomatis mengalihkan pengunjung ke situs penipuan, kasino online, atau langsung mengunduh rantai eksploitasi iOS DarkSword.

Rute infeksi ini membawa korban ke platform perdagangan kripto palsu yang secara diam-diam menyuntikkan payload untuk mencuri SMS, riwayat panggilan, kontak, data Apple Health, lokasi, hingga file dari lebih dari 25 aplikasi dompet kripto populer.

Kit Coruna dan Operasi Berbasis LLM

Para peneliti juga mencatat adanya penggabungan antara DarkSword dan kit eksploitasi lain bernama Coruna (sering disebut sebagai DarkCoruna).

Coruna bertindak sebagai payload pendamping yang berjalan di dalam sesi peramban korban untuk memanen frasa pemulihan kripto (recovery phrases) dan data keystore dari aplikasi iOS.

Menariknya, kebocoran kode sumber kit ini memicu gelombang percobaan pembaruan mandiri oleh peretas amatir menggunakan bantuan Model Bahasa Besar (LLM).

Meskipun sebagian besar upaya amatir tersebut gagal dan menghasilkan kode rusak, para penjahat siber profesional tetap menjalankan infrastruktur C2 yang terorganisir, termasuk operasi berbasis agen (reseller model) yang dijalankan oleh kelompok berbahasa Mandarin.

Analisis pada server produksi juga mengungkap dua pengidentifikasi kerentanan baru (CVE) yang digunakan dalam kit ini:

CVE-2025-24201: Kerentanan out-of-bounds write pada mesin WebKit.
CVE-2025-31200: Kerentanan korupsi memori pada kerangka kerja Core Audio.

Langkah Perlindungan Keamanan

Mengingat canggihnya rantai eksploitasi yang mampu menembus sistem keamanan tingkat kernel tanpa memerlukan interaksi pengguna yang rumit (selain mengeklik tautan berbahaya), perlindungan proaktif menjadi hal utama:

Pembaruan Sistem Operasi (iOS): Selalu perbarui perangkat Apple Anda ke versi iOS terbaru untuk menutup celah kerentanan zero-day maupun celah lama yang dieksploitasi oleh kit ini.
Waspadai Tautan Asing: Hindari mengeklik tautan sembarangan dari sumber yang tidak dikenal, termasuk iklan bertarget atau ajakan kolaborasi mencurigakan yang mengarah ke situs web pihak ketiga.
Amankan Aset Kripto: Jangan pernah menyimpan frasa pemulihan (seed phrase) dompet digital dalam bentuk teks biasa di catatan ponsel (Apple Notes) atau tangkapan layar galeri. Gunakan perangkat dompet keras (hardware wallet) untuk keamanan maksimal.
Gunakan Keamanan Perangkat Tambahan: Bagi pengguna enterprise atau individu yang membutuhkan perlindungan tingkat lanjut, manfaatkan solusi keamanan seluler terpercaya yang mampu mendeteksi anomali proses sistem dan aktivitas jaringan mencurigakan secara real-time.

Baca artikel lainnya: