iOS 익스플로잇 ‘P7 다크소드’ 확인

ai.euno.news 자동 뉴스 요약

모바일 보안업체 아이베리파이(iVerify)가 iOS 익스플로잇 키트 ‘다크소드(DarkSword)’의 새 변종 ‘P7 다크소드’를 확인했다. 새 변종은 아이폰 안에서 키체인과 암호화폐 지갑 정보를 추출하고, 공격자의 명령을 받아 실행하는 양방향 명령제어(C2) 기능을 갖췄다. 기존 변종보다 기기에 남기는 흔적도 줄었다고 아이베리파이는 밝혔다.¹

다크소드는 여러 iOS 취약점을 연쇄적으로 이용한다. 브라우저 샌드박스를 벗어난 뒤 커널 권한을 얻고, 앱 실행과 홈 화면을 관리하는 iOS 프로세스인 스프링보드(SpringBoard)에 핵심 페이로드를 주입하는 방식이다. iOS 18.4부터 18.7까지 실행하는 아이폰을 겨냥하며, 2025년 11월 실제 공격에서 처음 포착됐다. ‘P7’이라는 이름은 원본 코드의 변경 부분에서 발견된 p7_ 변수 접두사에서 따왔다.

P7 다크소드는 스프링보드를 통해 공격자 인프라와 통신하며 15초마다 새 명령을 확인한다. 감염 상태를 알리는 하트비트 메시지와 설치 앱 목록을 보내고, iCloud 키체인뿐 아니라 애플 메모·사진·암호화폐 지갑 앱의 데이터도 전송한다. 공격자는 execute_command로 ls, cat, mkdir, rm, ps, memdump, netstat, whoami 같은 운영체제 명령을 실행하거나, 별도의 ls 명령으로 디렉터리 내용을 열람할 수 있다.

정보 탈취 방식도 달라졌다. 이전 변종은 키체인 데이터베이스를 복사해 공격자 서버에서 처리했지만, P7 다크소드는 아이폰 안에서 키체인 정보를 JSON으로 추출한 뒤 내보낸다. HTTP 요청과 시스템 로그에 남던 디버그 기록을 없애고, 브라우저의 localStorage를 이용해 같은 기기를 다시 익스플로잇하지 않도록 한 점도 은폐성과 안정성을 높이려는 변화다.

다크소드는 사우디아라비아·튀르키예·말레이시아·우크라이나를 겨냥한 공격에서 쓰였다. 튀르키예 상업용 감시업체 PARS 디펜스와 러시아 연계 조직 스타 블리자드(Star Blizzard), 중국어권으로 추정되는 미확인 공격자가 각각 활용한 정황도 보고됐다. 다만 유출된 코드를 바탕으로 iOS 26.x 지원을 시도한 변종 다수는 작동하지 않았으며, 아이베리파이는 이를 대규모 언어 모델(LLM)의 도움을 받은 미숙한 시도로 추정할 뿐 실제 LLM 사용 증거는 제시하지 않았다.

읽기 목록은 이 브라우저에 저장됩니다.