舊 iOS 撳入惡意網站可中 DarkSword：iPhone 用戶應立即更新

iPhone 用戶見到假 Apple ID 登入頁，第一反應通常係提防釣魚。不過 DarkSword 麻煩得多：舊版 iOS 單靠載入惡意網頁，攻擊鏈已有機會喺背景啟動，用戶未必撳過下載、安裝描述檔，甚至未輸入密碼。呢種攻擊原本多數見於高度針對性監控，而家工具外流，多批攻擊者都攞到手，拖住唔更新嘅風險自然高咗。

撳入網站，攻擊已可以開始

Google Threat Intelligence Group（GTIG）研究顯示，DarkSword 用六個漏洞逐層攻入 Safari 相關組件，先執行程式碼，再逃出瀏覽器沙盒，最後取得核心層權限。攻擊者可以將程式藏喺惡意網站，亦可以入侵正常網站後加插隱藏 iframe。換句話講，網址望落正常都未必穩陣，單靠「唔好亂撳下載」擋唔住呢條攻擊鏈。

iThome 引述 Censys 追蹤話，研究人員新發現一批使用簡體中文介面嘅攻擊基建，當中有過百個網站，不少扮成 AWS、Apple ID 登入頁或者 iOS 相關頁面。截至 7 月 30 日，Censys 點出 27 部主機同 180 項網站資產。不過呢批資料只反映網上基建，未足以證明攻擊者身份、受命於邊個政府，或者香港有人中招，所以現階段只適合形容為疑似中國背景攻擊者。

圖片：Google Threat Intelligence Group

GHOSTBLADE 掃嘅資料相當貼身

DarkSword 負責攻入手機，成功後先會載入最終惡意程式。GTIG 分析過嘅 GHOSTBLADE 會一次過搜集 iMessage、Telegram、WhatsApp、電郵索引、通話紀錄、聯絡人、Keychain、Wi-Fi 密碼、位置紀錄、Safari cookies、相片資料、備忘錄、日曆、iCloud Drive 檔案同加密貨幣錢包資料，傳去攻擊者控制嘅 server 後再刪走部分診斷紀錄。

呢啲都係平時用手機會接觸到嘅資料。Keychain 入面如果存有 Apple 帳戶、網上銀行或者交易所登入資料，帳戶都可能受牽連；WhatsApp 同 iCloud 資料外洩亦足以畀人冒認身份、翻查私人對話或者再設計釣魚攻擊。GHOSTBLADE 主要係一次過偷資料，唔代表破壞力較低，因為資料一經傳走，之後更新系統都收唔返。

圖片：Google Threat Intelligence Group

iOS 18.4 至 18.7 屬已知攻擊範圍

GTIG 確認 DarkSword 支援 iOS 18.4 至 18.7，相關漏洞分幾次修補，到 iOS 26.3 先全部補齊。Apple 嘅 iOS 26.3 安全公告亦確認，當中 CVE-2026-20700 曾俾人用於針對特定人士嘅高階攻擊。仍然留喺 iOS 18 嘅裝置亦有補救：Apple 特別擴大 iOS 18.7.7 嘅供應範圍，等更多手機收到針對 DarkSword 網頁攻擊嘅保護。

實際做法好簡單：去「設定」＞「一般」＞「軟件更新」，裝好手機提供嘅最新正式版本。唔好淨係見到版本寫住 iOS 18.7 就以為安全；至少要去到包含 DarkSword 修補嘅 18.7.7，或者直接升上最新 iOS 26。開咗自動更新都值得手動檢查一次，因為下載、安裝同重新啟動未必已經完成。

高風險人士可以再開封鎖模式

記者、社運人士、政府或企業高層、處理敏感個案嘅律師，同持有大量加密貨幣嘅人，如果覺得自己可能俾人針對，可以喺更新後再開「設定」＞「私隱與保安」＞「封鎖模式」。Apple 說明指，呢個模式會限制部分複雜網頁技術、訊息附件、陌生 FaceTime 邀請同有線連接，代價係個別網站同功能未必正常運作，所以一般用戶唔使長開。

如果手機曾經用 iOS 18.4 至 18.7 開過可疑連結，更新可以防止同一條已知攻擊鏈再次得手，但收唔返之前可能已經外洩嘅資料。較穩陣嘅處理係用另一部已更新裝置更改 Apple 帳戶、電郵、銀行同加密貨幣服務密碼，登出陌生工作階段，再檢查 Apple 帳戶裝置清單。暫時冇可靠資料顯示香港網站或用戶已成為呢輪攻擊目標，但舊 iOS 嘅已知漏洞唔會按地區失效，更新仍然要即刻做。

參考來源

• iThome — 中國駭客藉由iOS漏洞利用工具包DarkSword，散布惡意軟體GhostBlade — original report
• Google Threat Intelligence：DarkSword iOS 攻擊鏈分析 — 一手研究，核對六個漏洞、受影響版本、GHOSTBLADE 資料清單同已知攻擊活動
• Apple：iOS 26.3 安全內容 — 官方確認 CVE-2026-20700 修補版本同曾遭利用嘅情況
• Apple：iOS 18.7.7 安全內容 — 官方確認擴大提供 iOS 18.7.7，畀舊系統取得 DarkSword 網頁攻擊保護
• Apple：封鎖模式說明 — 核對適用對象、開啟方法同功能限制
• iVerify：外流 iOS 攻擊鏈同規模化風險 — 補充 DarkSword 外流後，多批攻擊者較易重用完整攻擊鏈嘅背景

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。