{"id":298,"date":"2026-03-19T12:51:52","date_gmt":"2026-03-19T12:51:52","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/19\/el-kit-de-explotacion-darksword-ios-utiliza-6-fallas-y-3-dias-cero-para-la-adquisicion-total-del-dispositivo-cyberdefensa-mx\/"},"modified":"2026-03-19T12:51:52","modified_gmt":"2026-03-19T12:51:52","slug":"el-kit-de-explotacion-darksword-ios-utiliza-6-fallas-y-3-dias-cero-para-la-adquisicion-total-del-dispositivo-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/19\/el-kit-de-explotacion-darksword-ios-utiliza-6-fallas-y-3-dias-cero-para-la-adquisicion-total-del-dispositivo-cyberdefensa-mx\/","title":{"rendered":"El kit de explotaci\u00f3n DarkSword iOS utiliza 6 fallas y 3 d\u00edas cero para la adquisici\u00f3n total del dispositivo \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Un nuevo kit de exploits para dispositivos Apple iOS dise\u00f1ado para robar datos confidenciales est\u00e1 siendo utilizado por m\u00faltiples actores de amenazas desde al menos noviembre de 2025, seg\u00fan informes de <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/darksword-ios-exploit-chain\" rel=\"noopener\" target=\"_blank\">Grupo de inteligencia sobre amenazas de Google<\/a> (GTIG), <a href=\"https:\/\/iverify.io\/blog\/darksword-ios-exploit-kit-explained\" rel=\"noopener\" target=\"_blank\">iVerificar<\/a>y <a href=\"https:\/\/www.lookout.com\/threat-intelligence\/article\/darksword\" rel=\"noopener\" target=\"_blank\">Estar atento<\/a>.<\/p>\n<p>Seg\u00fan GTIG, m\u00faltiples proveedores de vigilancia comercial y presuntos actores patrocinados por el estado han utilizado el kit de explotaci\u00f3n de cadena completa, cuyo nombre en c\u00f3digo <strong>Espada oscura<\/strong>en distintas campa\u00f1as dirigidas a Arabia Saudita, Turqu\u00eda, Malasia y Ucrania. <\/p>\n<p>El descubrimiento de DarkSword lo convierte en el segundo kit de exploits para iOS, despu\u00e9s de Coru\u00f1a, descubierto en el lapso de un mes. El kit est\u00e1 dise\u00f1ado para iPhones que ejecutan versiones de iOS entre iOS 18.4 y 18.7, y se dice que fue implementado por un presunto grupo de espionaje ruso llamado UNC6353 en ataques dirigidos a usuarios ucranianos.<\/p>\n<p>Vale la pena se\u00f1alar que UNC6353 tambi\u00e9n se ha relacionado con el uso de Coruna en ataques dirigidos a ucranianos mediante la inyecci\u00f3n del marco JavaScript en sitios web comprometidos.<\/p>\n<p>\u00abDarkSword tiene como objetivo extraer un amplio conjunto de informaci\u00f3n personal, incluidas credenciales del dispositivo y apunta espec\u00edficamente a una gran cantidad de aplicaciones de billeteras criptogr\u00e1ficas, insinuando un actor de amenazas con motivaci\u00f3n financiera\u00bb, dijo Lookout. \u00abEn particular, DarkSword parece adoptar un enfoque de &#8216;atacar y huir&#8217; al recopilar y exfiltrar los datos espec\u00edficos del dispositivo en segundos o como m\u00e1ximo minutos, seguido de la limpieza\u00bb.<\/p>\n<p>Las cadenas de exploits como Coruna y DarkSword est\u00e1n dise\u00f1adas para facilitar el acceso completo al dispositivo de la v\u00edctima con poca o ninguna interacci\u00f3n por parte del usuario. Los hallazgos muestran una vez m\u00e1s que existe un mercado de segunda mano para exploits que permite a grupos de amenazas con recursos limitados y objetivos no necesariamente alineados con el ciberespionaje adquirir \u00abexploits de primera l\u00ednea\u00bb y utilizarlos para infectar dispositivos m\u00f3viles.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abEl uso de DarkSword y Coru\u00f1a por parte de una variedad de actores demuestra el riesgo continuo de proliferaci\u00f3n de exploits entre actores de diferentes geograf\u00edas y motivaciones\u00bb, dijo GTIG.<\/p>\n<p>La cadena de exploits vinculada al kit reci\u00e9n descubierto utiliza seis vulnerabilidades diferentes para implementar tres cargas \u00fatiles, de las cuales CVE-2026-20700, CVE-2025-43529 y CVE-2025-14174 fueron explotadas como de d\u00eda cero, antes de que Apple las parcheara:<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-31277\" rel=\"noopener\" target=\"_blank\">CVE-2025-31277<\/a><\/strong>  \u2013 Vulnerabilidad de corrupci\u00f3n de memoria en JavaScriptCore (parcheada en la versi\u00f3n 18.6)<\/li>\n<li><strong>CVE-2026-20700<\/strong> \u2013 Omisi\u00f3n del c\u00f3digo de autenticaci\u00f3n de puntero (PAC) en modo usuario en dyld (parcheado en la versi\u00f3n 26.3)<\/li>\n<li><strong>CVE-2025-43529<\/strong> \u2013 Vulnerabilidad de corrupci\u00f3n de memoria en JavaScriptCore (parcheada en las versiones 18.7.3 y 26.2)<\/li>\n<li><strong>CVE-2025-14174<\/strong> \u2013 Vulnerabilidad de corrupci\u00f3n de memoria en ANGLE (parcheada en las versiones 18.7.3 y 26.2)<\/li>\n<li><strong><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-43510\" rel=\"noopener\" target=\"_blank\">CVE-2025-43510<\/a><\/strong>  \u2013 Vulnerabilidad de gesti\u00f3n de memoria en el kernel de iOS (Parchado en las versiones 18.7.2 y 26.1)<\/li>\n<li><strong><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-43520\" rel=\"noopener\" target=\"_blank\">CVE-2025-43520<\/a><\/strong>  \u2013 Vulnerabilidad de corrupci\u00f3n de memoria en el kernel de iOS (parcheado en las versiones 18.7.2 y 26.1)<\/li>\n<\/ul>\n<p>Lookout dijo que descubri\u00f3 DarkSword despu\u00e9s de un an\u00e1lisis de la infraestructura maliciosa asociada con UNC6353, identificando que uno de los dominios comprometidos albergaba un elemento iFrame malicioso que es responsable de cargar un JavaScript en los dispositivos que visitan el sitio y determinar si el objetivo debe ser enrutado a la cadena de exploits de iOS. Actualmente se desconoce el m\u00e9todo exacto mediante el cual se infectan los sitios web.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEinOSvi1zuMizS2BExL8YTa6EMS4Rfj7Mt2QQLgH8cVNUnbhLUc6gG67nE0hT93NguRR7PyfSz47enhdApUdlpS6ZJRey4rY5AtbUtW_n6pmXM316Kf0D0hT0Kz5Fx36DHsH10Hk10207HiblZeEjx7K-eho-H3IQEjqJVzUkL0Iz1D5ORpmVkCaJQNCV0L\/s1700-e365\/timeline.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEinOSvi1zuMizS2BExL8YTa6EMS4Rfj7Mt2QQLgH8cVNUnbhLUc6gG67nE0hT93NguRR7PyfSz47enhdApUdlpS6ZJRey4rY5AtbUtW_n6pmXM316Kf0D0hT0Kz5Fx36DHsH10Hk10207HiblZeEjx7K-eho-H3IQEjqJVzUkL0Iz1D5ORpmVkCaJQNCV0L\/s1700-e365\/timeline.jpg\" alt=\"\" border=\"0\" data-original-height=\"1225\" data-original-width=\"2200\"\/><\/a><\/div>\n<p>Lo que hizo que esto fuera notable fue que JavaScript buscaba espec\u00edficamente dispositivos iOS con versiones entre 18.4 y 18.6.2, a diferencia de Coru\u00f1a, que apuntaba a versiones anteriores de iOS desde 13.0 hasta 17.2.1.<\/p>\n<p>\u00abDarkSword es una cadena completa de exploits y un ladr\u00f3n de informaci\u00f3n escrito en JavaScript\u00bb, explic\u00f3 Lookout. \u00abAprovecha m\u00faltiples vulnerabilidades para establecer una ejecuci\u00f3n de c\u00f3digo privilegiada para acceder a informaci\u00f3n confidencial y extraerla del dispositivo\u00bb.<\/p>\n<p>Como es el caso de Coru\u00f1a, la cadena de ataque comienza cuando un usuario visita a trav\u00e9s de Safari una p\u00e1gina web que incrusta el iFrame que contiene JavaScript. Una vez lanzado, DarkSword es capaz de romper los l\u00edmites del entorno limitado de WebContent (tambi\u00e9n conocido como proceso de renderizado de Safari) y aprovechar WebGPU para inyectar en <a href=\"https:\/\/developer.apple.com\/documentation\/avfoundation\/media-playback\" rel=\"noopener\" target=\"_blank\">reproducci\u00f3n multimedia<\/a>un demonio del sistema introducido por Apple para manejar funciones de reproducci\u00f3n multimedia.<\/p>\n<p>Esto, a su vez, permite que el malware minero de datos, conocido como GHOSTBLADE, obtenga acceso a procesos privilegiados y partes restringidas del sistema de archivos. Despu\u00e9s de una escalada de privilegios exitosa, se utiliza un m\u00f3dulo orquestador para cargar componentes adicionales que est\u00e1n dise\u00f1ados para recopilar datos confidenciales, as\u00ed como tambi\u00e9n inyectar una carga \u00fatil de exfiltraci\u00f3n en Springboard para desviar la informaci\u00f3n preparada a un servidor externo a trav\u00e9s de HTTP(S).<\/p>\n<p>Esto incluye correos electr\u00f3nicos, archivos de iCloud Drive, contactos, mensajes SMS, historial de navegaci\u00f3n de Safari y cookies, billetera de criptomonedas y datos de intercambio, nombres de usuario, contrase\u00f1as, fotos, historial de llamadas, configuraci\u00f3n y contrase\u00f1as de Wi-Fi WiFi, historial de ubicaciones, calendario, informaci\u00f3n celular y SIM, lista de aplicaciones instaladas, datos de aplicaciones de Apple como Notas y Salud, e historiales de mensajes de aplicaciones como Telegram y WhatsApp.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj6HX-MuizM5CMrlQYy2syXnesoB0w8uayjS7Mv1mUindwmAXycHbnae2JYwb1AscSk7v9ZE9v5WpdijRFC-dio2Acg2eU7yUBFg2moGlNjoPMDn9CYicAeH_uGprAQMz4XR5jH0htwczbCxd7v-hFo_arF2Ad7VvaePC8oa10iA35r2gF9ovsD03ZKQ2rK\/s1700-e365\/loader.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj6HX-MuizM5CMrlQYy2syXnesoB0w8uayjS7Mv1mUindwmAXycHbnae2JYwb1AscSk7v9ZE9v5WpdijRFC-dio2Acg2eU7yUBFg2moGlNjoPMDn9CYicAeH_uGprAQMz4XR5jH0htwczbCxd7v-hFo_arF2Ad7VvaePC8oa10iA35r2gF9ovsD03ZKQ2rK\/s1700-e365\/loader.jpg\" alt=\"\" border=\"0\" data-original-height=\"1400\" data-original-width=\"959\"\/><\/a><\/div>\n<p>iVerify, en su propio an\u00e1lisis de DarkSword, dijo que la cadena de exploits convierte en arma las vulnerabilidades JavaScriptCore JIT en el proceso de renderizado de Safari (CVE-2025-31277 o CVE-2025-43529) basado en la versi\u00f3n de iOS para lograr la ejecuci\u00f3n remota de c\u00f3digo a trav\u00e9s de CVE-2026-20700, y luego escapar del sandbox a trav\u00e9s del proceso de GPU aprovechando CVE-2025-14174. y CVE-2025-43510.<\/p>\n<p>En la etapa final, se aprovecha una falla de escalada de privilegios del kernel (CVE-2025-43520) para obtener capacidades arbitrarias de lectura\/escritura y llamadas a funciones arbitrarias dentro de mediaplaybackd y, en \u00faltima instancia, ejecutar el c\u00f3digo JavaScript inyectado.<\/p>\n<p>\u00abEste malware es muy sofisticado y parece ser una plataforma dise\u00f1ada profesionalmente que permite un r\u00e1pido desarrollo de m\u00f3dulos mediante el acceso a un lenguaje de programaci\u00f3n de alto nivel\u00bb, dijo Lookout. \u00abEste paso adicional muestra un esfuerzo significativo puesto en el desarrollo de este malware pensando en la mantenibilidad, el desarrollo a largo plazo y la extensibilidad\u00bb.<\/p>\n<p>Se ha descubierto que un an\u00e1lisis m\u00e1s detallado de los archivos JavaScript utilizados en DarkSword contiene referencias a las versiones 17.4.1 y 17.5.1 de iOS, lo que indica que el kit fue portado desde una versi\u00f3n anterior dirigida a versiones anteriores del sistema operativo.<\/p>\n<p>Otro aspecto que distingue a DarkSword de otros programas esp\u00eda es que no est\u00e1 dise\u00f1ado para vigilancia persistente ni recopilaci\u00f3n de datos. En otras palabras, una vez que se completa la filtraci\u00f3n de datos, el malware toma medidas para limpiar los archivos preparados y sale. El objetivo final, se\u00f1al\u00f3 Lookout, es minimizar el tiempo de permanencia y filtrar los datos que identifica lo m\u00e1s r\u00e1pido posible.<\/p>\n<p>Se sabe muy poco sobre UNC6353, aparte de su uso de Coru\u00f1a y DarkSword a trav\u00e9s de ataques de abrevadero en sitios web ucranianos comprometidos. Esto indica que el grupo de hackers probablemente est\u00e9 bien financiado para proteger cadenas de exploits de iOS de alta calidad que probablemente est\u00e9n desarrolladas para vigilancia comercial. Se considera que UNC6353 es un actor de amenazas t\u00e9cnicamente menos sofisticado que opera con motivos alineados con los requisitos de inteligencia rusos.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fs-report-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjWQgUDT06NQu9vGMPC7BWROmJABTIWg058l7oGKD-v3ZchC8_66xjbclOE9koChsRf5CEKgqrXTVrne_00PdGokh3brhvF-g33I4FYYpTukrvuNQWXZOVAfon6-2axyRoVJ4uOrXPqRhxfZUaJWEm-K9esUS3ql8VSVWAKLqyfhHLgMSXhkMTkcOtGSX7R\/s728-e100\/fs-report-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abDado que tanto Coru\u00f1a como DarkSword tienen capacidades para el robo de criptomonedas y la recopilaci\u00f3n de inteligencia, debemos considerar la posibilidad de que UNC6353 sea un grupo privado respaldado por Rusia o un actor criminal de amenazas\u00bb, dijo Lookout.<\/p>\n<p>\u00abLa total falta de ofuscaci\u00f3n en el c\u00f3digo DarkSword, la falta de ofuscaci\u00f3n en el HTML para los iframes y el hecho de que DarkSword File Receiver est\u00e9 dise\u00f1ado de manera tan simple y obviamente tenga un nombre nos llevan a creer que UNC6353 puede no tener acceso a recursos de ingenier\u00eda s\u00f3lidos o, alternativamente, no est\u00e1 preocupado por tomar las medidas OPSEC apropiadas\u00bb.<\/p>\n<p>El uso de DarkSword tambi\u00e9n se ha relacionado con otros dos actores de amenazas:<\/p>\n<ul>\n<li><strong>UNC6748<\/strong>que se dirigi\u00f3 a usuarios de Arabia Saudita en noviembre de 2025 utilizando un sitio web con tem\u00e1tica de Snapchat, snapshare[.]chat, que aprovech\u00f3 la cadena de exploits para entregar GHOSTKNIFE, una puerta trasera de JavaScript capaz de robar informaci\u00f3n.<\/li>\n<li>Actividad asociada con un proveedor turco de vigilancia comercial <strong>Defensa PARS<\/strong> que utiliz\u00f3 DarkSword en noviembre de 2025 para entregar GHOSTSABER, una puerta trasera de JavaScript que se comunica con un servidor externo para facilitar la enumeraci\u00f3n de dispositivos y cuentas, el listado de archivos, la filtraci\u00f3n de datos y la ejecuci\u00f3n de c\u00f3digo JavaScript arbitrario.<\/li>\n<\/ul>\n<p>Google dijo que el uso observado de DarkSword seg\u00fan UNC6353 en diciembre de 2025 solo admit\u00eda versiones de iOS de 18.4 a 18.6, mientras que el atribuido a UNC6748 y PARS Defense tambi\u00e9n apuntaba a dispositivos iOS que ejecutaban la versi\u00f3n 18.7.<\/p>\n<p>\u00abPor segunda vez en un mes, los actores de amenazas han empleado ataques de pozo de agua para atacar a los usuarios de iPhone\u00bb, dijo iVerify. \u00abEn particular, ninguno de estos ataques fue dirigido individualmente. Los ataques combinados ahora probablemente afecten a cientos de millones de dispositivos sin parches que ejecutan versiones de iOS de 13 a 18.6.2\u00bb.<\/p>\n<p>\u00abEn ambos casos, las herramientas fueron descubiertas debido a importantes fallos de seguridad operativa (OPSEC) y a un descuido en el despliegue de las capacidades ofensivas de iOS. Estos acontecimientos recientes suscitan varias preguntas clave: \u00bfQu\u00e9 tan grande y bien equipado est\u00e1 el mercado para los exploits de d\u00edas 0 y n de iOS para dispositivos iOS? \u00bfQu\u00e9 tan accesibles son capacidades tan poderosas para actores con motivaci\u00f3n financiera?\u00bb<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Un nuevo kit de exploits para dispositivos Apple iOS dise\u00f1ado para robar datos confidenciales est\u00e1 siendo utilizado por m\u00faltiples actores de amenazas desde al menos noviembre de 2025, seg\u00fan informes de Grupo de inteligencia sobre amenazas de Google (GTIG), iVerificary Estar atento. Seg\u00fan GTIG, m\u00faltiples proveedores de vigilancia comercial y presuntos actores patrocinados por el [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1048,146,24,1047,70,717,647,106,103,404,427,36,1049,216],"class_list":["post-298","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-adquisicion","tag-cero","tag-cyberdefensa-mx","tag-darksword","tag-del","tag-dias","tag-dispositivo","tag-explotacion","tag-fallas","tag-ios","tag-kit","tag-para","tag-total","tag-utiliza"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/298","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=298"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/298\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=298"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=298"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=298"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}