Mobile-Menu

Neue Exploit-Kette „DarkSword“ aufgedeckt Hacker können mit nur einem Klick in iPhones eindringen

Von Melanie Staudacher 3 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FTAPI Software GmbH

Die neu entdeckte Exploit-Kette „DarkSword“ betrifft viele iPhone-Nutzer. Ein Klick kann ausreichen, um potenziell schäd­liche Soft­ware auf das Gerät zu übertragen. Dahinter stecken Google zufolge sechs Sicherheitslücken.

Die DarkSword-Exploit-Kette nutzt mehrere Schwachstellen in iOS aus, um vollständige Kernelrechte zu erlangen, Sandbox-Beschränkungen zu umgehen und daraufhin Malware zu installieren, wodurch sensible Daten exfiltriert werden.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Die DarkSword-Exploit-Kette nutzt mehrere Schwachstellen in iOS aus, um vollständige Kernelrechte zu erlangen, Sandbox-Beschränkungen zu umgehen und daraufhin Malware zu installieren, wodurch sensible Daten exfiltriert werden.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Die russische Cyberspionagegruppe „UNC6353“ hat Untersuchungen der Google Threat Intel­li­gence Group nach eine neue Methoden entwickelt, um iPhones zu infiltrieren, sensible Daten auszuspähen und Schadcode zu installieren. Die Analysten warnen vor der Exploit-Kette „Dark­Sword“, die es Angreifern erlaubt, iPhones über den Webbrowser mit nur einem Klick zu kom­pro­mittieren.

1-Klick-Exploit

Laut den Erkenntnissen werde DarkSword nicht nur in laufenden Angriffskampagnen von UNC6353 verwendet, sondern auch von mehreren anderen, möglicherweise staatlich unter­stütz­ten Gruppen. Bisher seien Ziele in Saudi-Arabien, der Türkei, Malaysia und der Ukraine identifiziert worden. Die Spur der Exploit-Kette führe bis ins Jahr 2025 zurück. UNC6353 ist ein bekannter Bedrohungsakteur, der bereits hinter dem bekannten Exploit namens Coruna, der 2023 entdeckt wurde, steckt. Die Auswirkungen von DarkSword könnten ähnlich gravierend sein, da diese Exploit-Kette die Möglichkeit bietet, Daten von iPhones zu stehlen und voll­stän­di­ge Systemkompromittierungen zu ermöglichen.

Die sechs Sicherheitslücken, die den Google-Forschern für den DarkSword-Exploit genutzt werden, sind:

  • EUVD-2025-23063 / CVE-2025-31277 (CVSS-Score 8.8, EPSS-Scre* 0.10): Speicherbeschädigungsanfälligkeit in JavaScriptCore
  • EUVD-2025-203113 / CVE-2025-14174 (CVSS-Score 8.8, EPSS-Scre 0.88): Speicherbeschädigungsanfälligkeit in ANGLE
  • EUVD-2025-203963 / CVE-2025-43529 (CVSS-Score 8.8, EPSS-Scre 0.07): Speicherbeschädigungsanfälligkeit in JavaScriptCore
  • EUVD-2026-6189 / CVE-2026-20700 (CVSS-Score 7.8, EPSS-Scre 0.51): Benutzermodus-Autorisierungscode (PAC) Bypass in dyld
  • EUVD-2025-203138 / CVE-2025-43510 (CVSS-Score 7.8, EPSS-Scre 0.02): Speicherverwaltungsanfälligkeit im iOS-Kernel
  • EUVD-2025-203153 / CVE-2025-43520 (CVSS-Score 5.5, EPSS-Scre 0.02): Speicherbeschädigungsanfälligkeit im iOS-Kernel

Durch die Kombination dieser Schwachstellen würden sich verletzliche iOS-Geräte vollständig übernehmen lassen. Zunächst werde Schadcode in Safari oder der zugrunde liegenden Brow­ser-Engine WebKit ausgeführt, gefolgt von einem Sandbox-Escape und einer Rechte­aus­wei­tung.

Die gesamte Exploit-Kette sei in JavaScript codiert und lasse sich durch den Aufruf einer ent­sprech­end manipulierten Webseite ausnutzen. Man spricht hier von einem „1-Klick-Exploit-Kit“. Ein Opfer muss lediglich einen vom Angreifer bereitgestellten Link in einer E-Mail, Chat-Nachricht oder auf einer Webseite anklicken, um die Infektionskette zu staren.

Das Hauptziel der Angreifer sei die Einschleusung von Malware, die es ihnen ermögliche, Daten aus E-Mails, SMS, Webbrowsern, Messenger-Apps wie WhatsApp oder Telegram sowie aus vie­len weiteren Quellen zu extrahieren. Google habe in diesem Zusammenhang drei Malware-Familien „Ghostblade“, „Ghostknife“ und „Ghostsaber“ identifiziert.

Vulnerable iOS-Versionen und Sicherheitsupdates

Die iOS-Versionen 18.4 bis 18.7 sind den Forschern nach anfällig für DarkSword. Eine der Schwach­stel­len wurde bereits mit iOS 18.6 von Apple geschlossen, während weitere Patches in späteren Updates bereitgestellt wurden. Mit der Einführung von iOS 26.3 wurde die letzte der bekannt gewordenen Schwachstellen behoben. Die Sicherheitsforscher raten dazu, iPhones auf die neueste Softwareversion zu aktualisieren, um einen Schutz vor DarkSword zu erreichen.

Die aktuellste iOS-Version ist 26.3.1. Wann Nutzer, die ältere iPhones haben, die nicht auf iOS 26 aktualisiert werden können, ein Update erhalten, ist noch nicht bekannt. Allerdings soll der Blockierungsmodus (Lockdown Mode) von iOS zusätzlichen Schutz bieten. Apple warnt jedoch, dass dieser ge­wisse Einschränkungen in der Bedienung mit sich bringt.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50791692)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte