iOS-Angriff: GHOSTBLADE-Malware tarnt sich als System-Update
Veröffentlicht am: 04.08.2026 um 18:42 Uhr | Redaktion boerse-global.de
In einer aktuellen Cybersicherheits-Kampagne nutzen chinesischsprachige Akteure gefälschte Systemaktualisierungen, um den Info-Stealer GHOSTBLADE auf iOS-Geräten zu installieren. Sicherheitsanalysten beobachten dabei den Einsatz des DarkSword-Exploit-Kits, dessen Quellcode zuvor über ein öffentliches Repository auf GitHub geleakt worden war. Die Angreifer tarnen ihre Aktivitäten als legitime Software-Updates, um Zugriff auf sensible Nutzerdaten zu erhalten.
Funktionsweise des DarkSword-Exploit-Kits
Das DarkSword-Kit zielt primär auf die iOS-Versionen 18.4 bis 18.7 ab. Berichten zufolge nutzt das Toolkit insgesamt sechs Schwachstellen aus, für die Apple bereits Sicherheitspatches veröffentlicht hat. Dass die Angriffe dennoch erfolgreich sind, liegt laut Experten an der Täuschung der Anwender durch manipulierte Benachrichtigungen für System-Updates.
Interessant für die Einordnung der Bedrohungslage ist die Herkunft des Werkzeugs: DarkSword wurde in der Vergangenheit bereits mit kommerziellen Anbietern von Überwachungssoftware in Verbindung gebracht. Durch den Leak des Quellcodes unter der Bezeichnung „ghh-jb/DarkSword“ steht das Kit nun auch anderen kriminellen Gruppen zur Verfügung. Analysen der Infrastruktur zeigen zudem, dass neben DarkSword vereinzelt auch das ältere Coruna-Exploit-Kit eingesetzt wird.
GHOSTBLADE-Malware entwendet Cloud- und Systemdaten
Ist die Infektion über das Exploit-Kit erfolgreich, wird der Info-Stealer GHOSTBLADE auf dem iOS-Gerät platziert. Diese Schadsoftware ist darauf spezialisiert, weitreichende Berechtigungen zu erlangen und vertrauliche Informationen zu extrahieren. Zu den primären Zielen der Malware gehören:
- Anmeldedaten aus dem iOS-Schlüsselbund (Keychain)
- Zugangsinformationen für die iCloud
- Gespeicherte Passwörter für Wi-Fi-Netzwerke
Viele Smartphone-Nutzer übersehen nach dem Einspielen neuer Software gefährliche Einstellungen, die Angreifern das Ausspähen von Daten erleichtern. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie Ihr Gerät mit wenigen Klicks wirklich absichern. iPhone Kompakt-Guide jetzt kostenlos sichern
Die gestohlenen Daten ermöglichen es den Hintermännern, tiefer in die digitale Privatsphäre der Betroffenen einzudringen und potenziell weitere Konten zu kompromittieren.
Globale Infrastruktur mit Fokus auf Cloud-Imitationen
Die Reichweite der Kampagne ist beträchtlich und erstreckt sich über Japan und die USA bis nach Europa. Die zugrunde liegende Infrastruktur umfasst laut verschiedenen Analysen zwischen 100 und mehr als 180 Web-Eigenschaften. Ein Großteil dieser Seiten ist darauf ausgelegt, legitime Dienste vorzutäuschen. Dazu zählen insbesondere gefälschte Anmeldeseiten für Amazon Web Services (AWS) sowie Imitationen von Apple-Login-Portalen und anderen Cloud-Diensten.
Gehostet werden diese bösartigen Webseiten überwiegend in Hongkong. Bei der Untersuchung der Kontrollinfrastruktur (Command-and-Control) stießen Analysten auf ein Administrationspanel, das die Bezeichnung „Asia-Pacific Group“ trägt und einen Kontakt über den Messenger-Dienst Telegram bereitstellt. Durch technisches Fingerprinting konnte ein spezifischer Hash der DarkSword-Admin-Loginseite auf sieben Hosts in drei verschiedenen Ländern identifiziert werden.
Da Kriminelle immer häufiger versuchen, Passwörter und Cloud-Zugänge über gefälschte Login-Seiten abzugreifen, ist ein moderner Schutz wichtiger denn je. Dieser gratis PDF-Report zeigt Ihnen eine sichere Alternative, die Hackern keine Chance mehr lässt. Kostenlosen Report zur Hacker-Abwehr herunterladen
Empfehlungen für Anwender
Da die Kampagne gezielt auf bereits geschlossene Sicherheitslücken in älteren Versionen von iOS 18 setzt, raten Fachleute dringend dazu, die installierte Betriebssystemversion auf dem aktuellen Stand zu halten. Updates sollten ausschließlich über die offiziellen Systemeinstellungen des iPhones bezogen werden. Zudem wird davor gewarnt, Anmeldedaten auf Webseiten einzugeben, die über unaufgeforderte Benachrichtigungen oder verdächtige Links erreicht wurden, um eine Kompromittierung durch die Imitationen von AWS- oder Apple-Diensten zu verhindern.
