慢雾23pds称全网部署超1500个DarkSword钓鱼站
慢雾首席信息安全官23pds发文指出，其MistEye全网威胁情报狩猎目前发现超过1500个DarkSword钓鱼站点正部署在互联网各处。
这些站点覆盖电商、虚假币安、虚假OKX、虚假钱包、游戏及加密货币兑换等多类业务，通过仿冒知名平台诱导用户点击或访问。
DarkSword作为iOS利用工具包，可在用户通过Safari打开恶意页面时触发攻击链，窃取Keychain数据、本地文件、通信记录及加密钱包私钥与助记词。
相关利用代码于2026年3月公开后，DarkSword-PROV2于7月出现在GitHub，攻击基础设施在9月底上线，并已整合设备数据采集、数据外传及加密资产归集功能。
有效利用窗口主要集中在iOS 18.6至18.7.2以及iOS 26.0至26.1版本，虽声称支持更早版本，但多数条目并不完整。
攻击者通过部署大量钓鱼站点“卖”出恶意入口，用户一旦访问即可能被“买入”设备控制权，资金从受害者钱包流向攻击者控制地址，属事件驱动的定向盗取，交易所与钱包仿冒渠道承压。
来源：公开信息
ABAB AI 解读
SlowMist此前已多次针对DarkSword发布分析：2026年3月Google Threat Intelligence Group披露该iOS利用链后，23pds随即警告工具泄露，10月19日团队又发布后台与攻击链完整报告，显示其从公开代码武器化到实际部署仅用数月。
攻击路径从钓鱼落地页（仿冒交易所或电商）→ Safari/WebKit漏洞触发 → 设备数据与钱包信息采集 → 助记词解密与资产归集，动机是利用公开利用代码降低门槛，批量复制站点以扩大iPhone加密用户覆盖面。
这与此前Coruna等iOS钱包窃取工具及Firefox恶意扩展仿冒Rabby/OKX的模式类似，当前处于公开利用代码被黑产快速产业化的扩张阶段，安全公司情报狩猎与交易所仿冒监测成为主要对抗点。
本质是技术替代：公开漏洞利用代码让专业攻击门槛下降，普通团伙即可部署大规模钓鱼基础设施，迫使防御从单点漏洞修补转向持续全网站点狩猎与用户设备隔离。
ABAB News · 认知定律
公开利用代码等于攻击者的免费武器库
钓鱼站数量决定可攻击用户的覆盖半径
仿冒交易所比直接黑进交易所更便宜