Kimliği belirsiz bir Çinli tehdit aktörü, sızdırılmış DarkSword istismar kitini kullanarak Apple iOS cihazlarını hedef alan bir kampanya yürütüyor.
Saldırı yüzeyi yönetim platformu Censys, tehdit aktörünün 100'den fazla web özelliği kullandığını ve bunların çoğunun, istismar kitini de barındıran bir alan adındaki sahte Amazon Web Services (AWS) giriş sayfaları olduğunu tespit etti.
Censys araştırmacısı Aidan Holland, 31 Temmuz 2026'da yayınlanan analizinde, "Barındırma hizmeti Hong Kong'da yoğunlaşmış olsa da Japonya, Amerika Birleşik Devletleri ve Avrupa'ya kadar uzanıyor" dedi.
Bu yılın başlarında Google Threat Intelligence Group (GTIG), iVerify ve Lookout tarafından keşfedilen ve detaylandırılan DarkSword, en az Kasım 2025'ten bu yana Suudi Arabistan, Türkiye, Malezya ve Ukrayna'yı hedef alan farklı kampanyalarda ticari gözetim satıcıları ve devlet destekli şüpheli aktörler tarafından kullanıldığı düşünülen tam zincirli bir istismar kiti olarak biliniyor.
Özellikle iOS 18.4 ile 18.7 sürümlerini hedef alan kitin, Apple'ın mobil işletim sistemindeki yamalanmış güvenlik açıklarını tetiklemek için bir başlangıç noktası olarak sulama delikleri (watering holes) kullandığı gözlemlendi. Bu yöntemle, sonuçta bilgi çalan GHOSTBLADE kötü amaçlı yazılımının dağıtımını kolaylaştıran JavaScript çalıştırılıyor.
DarkSword'un kullanımı, kaynak kodunun halka açık bir şekilde sızdırılmasının ardından diğer tehdit aktörlerinin de bu istismar aracını kullanmaya başlamasıyla genişledi.
Censys'in son bulguları, "DarkSword Admin" adlı bir panelin giriş sayfasının 30 Temmuz 2026 itibarıyla üç ülkedeki yedi ana bilgisayarla eşleştiğini gösteriyor. Bunlara ek olarak, Singapur merkezli bir ana bilgisayar ("38.181.52[.]95") üç farklı istismar paneli ön ucu çalıştırırken, Hong Kong merkezli bir ana bilgisayar ("103.106.190[.]217") ise bir Apple ID kimlik bilgisi toplama tuzağı barındırıyor.
"38.22.89[.]117:8888" IP adresinde sunulan bu giriş panellerinden birinde, "kullanıcı adı," "şifre" ve "Giriş Yap" için Çince alan etiketleri bulunuyor. Diğer altı IP adresi ise şöyle:
