DarkSword kam in vier Ländern zum Einsatz; 270 Millionen sind keine Infektionen

Beleggestützte Analyse der DarkSword-iOS-Kampagnen, des Expositionsnenners und der veränderten Patch-Grenze.

• Google dokumentierte seit November 2025 DarkSword-Einsätze gegen Ziele in Saudi-Arabien, der Türkei, Malaysia und der Ukraine. Die Fälle betreffen unterschiedliche Cluster und Kunden; sie ergeben keine weltweite Opferzahl.
• iVerify schätzte bis zu 270 Millionen Geräte auf ausgewählten iOS-18-Versionen. Das ist ein möglicher Expositionsnenner und keine Infektionszahl. Apple erklärt aktuelle, aktualisierte Versionen für geschützt und weitete Korrekturen später auf ältere iOS-Zweige aus.

Beobachtete Kampagnen sind enger als der mögliche Nenner

Google trennt mindestens drei Kontexte: UNC6748 nutzte eine Snapchat-artige Seite gegen saudische Nutzer; mit PARS Defense verbundene Aktivität erschien in der Türkei und später Malaysia; UNC6353 nutzte kompromittierte ukrainische Websites als Watering Holes. UNC6353 gilt als mutmaßlicher russischer Spionagecluster, nicht als öffentlich bewiesener Arm einer bestimmten Regierung.

Die ukrainische Operation reicht mindestens bis Dezember 2025 zurück und war bis März 2026 aktiv. Lookout fand einen Hinweis auf eine mögliche Infektion am 12. Februar. Das belegt keinen Angriff auf Millionen; eine kompromittierte Seite zeigt nicht, wie viele passende iPhones die gesamte Kette erhielten und abschlossen.

Was die 270 Millionen messen

iVerify erklärte, bis zu 270 Millionen Geräte liefen noch mit iOS 18.4 bis 18.6.2, den vom ukrainischen Loader unterstützten Versionen. Es veröffentlichte keine Messzahl für relevante Besuche, ausgelieferten Exploit-Code, erfolgreiche Rechteausweitung, installierte Payloads oder bestätigte Infektionen. Die Zahl ist eine Obergrenze und keine Infektionszahl.

Apple meldete später, 79% der iPhones mit einer App-Store-Transaktion am 7. Juni hätten iOS 26 genutzt. Diese spätere Quote basiert auf Store-Aktivität; sie ist weder Gesamtbestand noch DarkSword-Audit. Beide Nenner zu verbinden würde Scheingenauigkeit erzeugen.

Sechs Schwachstellen ermöglichten verschiedene Payloads

Google beschrieb eine JavaScript-Kette aus JavaScriptCore-Codeausführung, dyld-Umgehung der Pointer-Authentifizierung, zwei Sandbox-Ausbrüchen und Kernel-Rechteausweitung. Beobachtete Varianten unterstützten iOS 18.4 bis 18.7; der ukrainische UNC6353-Loader 18.4 bis 18.6.

Die Kampagnen lieferten GHOSTKNIFE, GHOSTSABER oder GHOSTBLADE. Der Code konnte Nachrichten, Konten, Browser- und Standortverlauf, WLAN-Zugangsdaten, Fotos, Dateien und App-Daten ausleiten. Diese Fähigkeiten zeigen die Schwere nach erfolgreichem Einbruch, nicht dass jedes Modul lief oder jeder Datentyp auf jedem Gerät gestohlen wurde.

Die Patch-Grenze verschob sich nach der Offenlegung

Google zufolge war die vollständige Kette mit iOS 26.3 behoben, das am 11. Februar 2026 erschien; die meisten Fehler waren früher korrigiert. Apple erklärte später die neuesten aktualisierten Versionen von iOS 15 bis iOS 26 für geschützt, erweiterte iOS 18.7.7 am 1. April und zeigte älteren iOS-18-Geräten einen Critical-Security-Update-Hinweis.

Apple sagt, aktualisierte Geräte und Geräte mit Lockdown Mode seien vor den gemeldeten Webangriffen geschützt gewesen. Safari Safe Browsing blockiert identifizierte Domains. Trotzdem gilt: neuestes unterstütztes Update installieren, bei vorübergehend unmöglichem Update Lockdown Mode nutzen und Exposition untersuchen, statt aus der OS-Version allein einen Einbruch abzuleiten.

Worauf zu achten ist

• Bestätigte Opfertelemetrie getrennt von Versionsschätzungen.
• Neue Watering-Hole-Domains, Liefercode und Safe-Browsing-Abdeckung.
• Erfolg je Exploit-Stufe, Payload-Ausführung und belegte Exfiltration.
• Neue Betreiber und Konfidenz der Zuordnung.
• Patch-Einführung in verwalteten und älteren Flotten.
• Apple-Warnungen und unabhängige Forensik.

Quellen

• Google Threat Intelligence Group, 18. März 2026: Kampagnen, Akteure, Exploit-Kette, Payloads und Patch-Zeitachse
• iVerify, 18. März 2026: ukrainisches Watering Hole und Schätzung bis zu 270 Millionen nach Version
• Lookout, DarkSword-Analyse: Lieferinfrastruktur, mögliche Infektion und Payload-Verhalten
• Apple, Sicherheitsinhalt von iOS 26.3: Veröffentlichung am 11. Februar 2026 und CVE-2026-20700
• Apple, Webangriff-Updatehinweis, 14. April 2026: ältere iOS-Versionen, Lockdown Mode, Safe Browsing und Updates
• Apple Developer, iOS-Nutzung gemessen am 7. Juni 2026: App-Store-Transaktionsnenner, keine Infektionsmessung