安全研究圈里一直流传着这样一句话：一个强大的漏洞利用链一旦出现，就很难长期被某一方独占。这句话在近期再次得到验证。一个被命名为 DarkSword 的攻击框架被安全研究人员记录在案，它正通过被植入间谍软件的网站，针对运行 iOS 18.4 至 iOS 18.7 的 iPhone 用户发起攻击。据谷歌威胁情报小组（GTIG）披露，这并非停留在理论层面的漏洞链，而是已经在野外被观察到的真实攻击。
从 Coruna 到 DarkSword：漏洞工具包的进化
要理解 DarkSword，得先了解它的前身。本月早些时候，安全公司 iVerify 详细披露了一个名为 Coruna 的漏洞利用工具包，其中包含超过 23 个漏洞，涉及多个完整的漏洞链，覆盖范围极广的 iOS 版本。Coruna 的复杂程度已经远超此前的同类工具，社区甚至利用它开发出了 Coruna tweak 注入器，并有望据此推出支持到 iOS 17.2.1 的更新版 Dopamine 越狱。
而 DarkSword 可以看作是这条演化线上的下一步。真正值得关注的并不只是它的技术能力，而是这类工具被复用的速度。过去的漏洞利用工具往往被单一组织牢牢掌控，如今同一条漏洞链却被不同的攻击者用于完全不同的目的。像 Coruna 这样的大型间谍软件框架，显然不可能只被越狱社区使用。
完全基于 JavaScript 的攻击链
DarkSword 在技术上最引人注目的一点，是它对 JavaScript 的极度依赖。传统的 iOS 漏洞利用链通常混合使用原生代码执行和内存破坏技术，而 DarkSword 的整条链——从最初的入侵一直到内核级权限——几乎全部通过 JavaScript 完成。这意味着攻击者不需要一台电脑，也不需要像过去那样向设备投放明显的二进制文件。
这样做带来几个重要影响：它能够避开 iOS 内置的部分底层防护，完全绕过代码签名，没有需要借助 Sideloadly 之类工具侧载的 IPA，也大大降低了对投放明显可执行文件的需求。用户甚至可能只是用 Safari 访问了一个看起来并不起眼的网页，就已经中招，而自己毫不知情。简单来说，攻击者不再依赖 IPA 应用或通过 libimobiledevice 的 USB 连接入侵这些传统投递方式，一切从浏览器开始，并由此逐步升级，就像早期的 WebKit 越狱那样。
五阶段攻击流程：从网页到内核
在最初的浏览器沦陷之后，DarkSword 的漏洞链会依次经历多个阶段，逐步扩大对设备的控制：
- 利用 WebKit 漏洞获得代码执行能力。
- 逃出浏览器沙箱。
- 渗透进入其他系统进程，包括与 GPU 相关的组件。
- 最终触达内核，获得对设备的完全控制。
一旦走到最后阶段，攻击者实际上就「拥有」了这台设备，照片、通讯录、短信、定位等几乎所有数据都可以被读取。另一个值得注意的细节是，同一条漏洞链被复用在不同的行动中。研究人员已经识别出至少三起独立的攻击活动，各自目标不同：有针对个人的监控型部署、面向大规模数据采集的收割行动，以及窃取凭据与金融数据的行动。尽管载荷各不相同，底层的漏洞却是一致的，这进一步印证了 DarkSword 更像是一件被分发出去的工具，而非仅由其创作者独家使用，其中部分攻击还回连到了俄罗斯。
利用的漏洞清单：一批早已补过的 CVE
DarkSword 的攻击链串联了多个已知漏洞，这些漏洞此前均已获得苹果的补丁。根据 iVerify 的分析，主要包括：
- CVE-2025-31277：Safari 的 JIT RegExp match 漏洞，可导致任意内存读写，用于 iOS 18.4 至 18.5 的远程代码执行。
- CVE-2025-43529：Safari 的 JIT StoreBarrierInsertionPhase 漏洞，导致释放后使用与类型混淆，用于 iOS 18.6 至 18.6.2，且已被标记为野外利用。
- CVE-2026-20700：利用 dyld 可写栈内存中的敏感结构绕过 TPRO 与 PAC 指针认证，实现任意代码执行。
- CVE-2025-14174：ANGLE 越界写入漏洞，用于从 WebContent 沙箱逃逸到 GPU 进程。
- CVE-2025-43510：AppleM2ScalerCSCDriver 驱动中的写时复制内核漏洞，用于从 GPU 逃逸到 mediaplaybackd 守护进程。
- CVE-2025-43520：内核权限提升漏洞。
值得注意的是，尽管这些漏洞在同一次攻击中被完整使用，但官方仅将远程代码执行环节标记为「在野外被利用」。攻击者之所以能串联如此多的组件，正是因为这些漏洞类别一旦被公开，往往会被迅速武器化。
受影响范围与攻击目标
从已知信息看，DarkSword 明确影响的版本是 iOS 18.4 至 iOS 18.6.2，谷歌还观察到 iOS 18.7 的其他配置也遭到利用。据估算，受影响的设备规模可能高达 约 2.215 亿台，约占 iPhone 用户的 14.2%；如果把所有 iOS 18 版本都纳入考虑，潜在规模可能扩大到 2.7 亿台。苹果已经在较新的 iOS 更新中修复了这些漏洞，但那些仍停留在旧版本、尤其是 iOS 18.7.x 及以下的设备，如果不及时升级，仍然可能暴露在这条漏洞链的部分环节之下。
从攻击目标来看，DarkSword 并非传统意义上的大规模消费者恶意软件，而更像是有针对性的间谍活动。观察到的攻击影响到了欧洲、中东和亚洲部分地区的用户，谷歌记录的实体目标包括乌克兰、沙特阿拉伯、土耳其和马来西亚。这类攻击通常把记者、活动人士或高价值目标作为重点，但一旦工具扩散，门槛就会下降，原本的定向间谍活动很容易演变成更广泛的滥用。
它到底窃取了什么
DarkSword 的植入体功能相当全面。它通过向多个系统进程注入 JavaScript 植入体，来完成不同类型的数据窃取：通过 configd 复制钥匙串（keychain）与 keybag 到临时目录，通过 wifid 和 securityd 提取 WiFi 密码，通过 UserEventAgent 窃取 iCloud Drive 文件，再经由 SpringBoard 上传窃取到的文件。被盯上的数据包括短信、通话记录、联系人、Safari 历史、健康数据、笔记、日历、照片元数据，以及 WhatsApp、Telegram 等应用的数据。
尤其值得注意的是它对加密货币钱包的扫描能力。植入体会搜索 Coinbase、Binance、MetaMask、Trust Wallet、Exodus、Ledger、Trezor、Phantom 等大量主流钱包与交易所应用的痕迹，一旦命中就会进一步窃取相关数据。数据最终会外泄到攻击者控制的服务器。可以说，DarkSword 的窃取能力覆盖了用户数字生活的方方面面。
如何防护：升级与锁定模式
面对这类全链路攻击，普通用户能做的最有效的事就是及时更新系统。如果你正在使用受影响的 iOS 版本，升级应该是第一优先级，尤其是那些并不在意越狱的用户。苹果已经在后续版本中修复了相关漏洞，把系统升到最新版可以封堵绝大部分风险。
对于暂时无法升级的用户，开启 锁定模式（Lockdown Mode） 能显著缩小攻击面，尤其是针对这类基于浏览器的漏洞利用。锁定模式并非完美的解决方案，但它确实能拦截 DarkSword 这类攻击链中的不少技术手段。此外，养成不访问来路不明网站、不随意点击可疑链接的习惯，也能在一定程度上降低中招概率。对越狱与安全社区而言，DarkSword 再次印证了一个长期以来的判断：那些能够支撑越狱的漏洞类别，在被发现之后同样可能被迅速武器化。