TA446 کیت اکسپلویت DarkSword برای iOS را در یک کمپین فیشینگ هدفمند به کار می‌گیرد

شرکت امنیتی Proofpoint جزئیات یک کمپین هدفمند ایمیلی را فاش کرده که در آن عوامل تهدید وابسته به روسیه از کیت بهره‌برداری (exploit kit) تازه‌افشاشده DarkSword برای هدف قرار دادن دستگاه‌های iOS استفاده می‌کنند. این فعالیت با اطمینان بالا به گروه تهدید تحت حمایت دولت روسیه موسوم به TA446 — که با نام‌های Callisto، COLDRIVER و Star Blizzard نیز شناخته می‌شود و وابسته به سرویس امنیت فدرال روسیه (FSB) ارزیابی می‌شود — نسبت داده شده است. آخرین فعالیت این گروه شامل ارسال ایمیل‌های جعلی با ظاهر «دعوت‌نامه بحث» از سوی شورای آتلانتیک (Atlantic Council) برای توزیع بدافزار سرقت داده GHOSTBLADE از طریق DarkSword بوده است. یکی از گیرندگان این ایمیل‌ها لئونید ولکوف، سیاستمدار برجسته اپوزیسیون روسیه و مدیر سیاسی بنیاد مبارزه با فساد بود. ایمیل‌ها در ۲۶ مارس ۲۰۲۶ از حساب‌های فرستنده‌های به‌خطرافتاده ارسال شدند.

Proofpoint تأکید کرد که پیش از این هرگز TA446 را در حال هدف قرار دادن حساب‌های iCloud یا دستگاه‌های اپل مشاهده نکرده بود، اما استفاده از DarkSword این امکان را برای این گروه فراهم کرده است. این شرکت همچنین هشدار داد که حجم ایمیل‌های این گروه در دو هفته اخیر «به‌طور قابل‌توجهی بالاتر» بوده و دامنه هدف‌گیری شامل نهادهای دولتی، اتاق‌های فکر، دانشگاه‌ها، مؤسسات مالی و حقوقی می‌شود. این تحولات همزمان با انتشار نسخه جدیدی از DarkSword در GitHub رخ داده که نگرانی‌هایی درباره دموکراتیزه‌شدن دسترسی به ابزارهای جاسوسی سطح دولتی ایجاد کرده است. جاستین آلبرشت، محقق ارشد Lookout، هشدار داد که نسخه لو‌رفته این کیت حتی به عوامل تهدید کم‌مهارت نیز امکان می‌دهد این ابزار پیشرفته جاسوسی iOS را به‌کار گیرند و آن را به بدافزاری عمومی (commodity malware) تبدیل کنند.