DarkSword ha bucato iPhone: la lezione arriva dopo la patch

DarkSword è diventato interessante proprio quando ha smesso di essere soltanto “un nuovo exploit per iPhone”. Nel marzo 2026 Google Threat Intelligence Group ha ricostruito una catena completa usata da più attori: sei vulnerabilità collegate tra loro, campagne in più Paesi e almeno tre famiglie di malware successive alla compromissione.

La parte importante, oggi, è anche un’altra: le vulnerabilità note della catena sono state corrette. Parlare di DarkSword come se fosse ancora una falla universale e aperta sugli iPhone aggiornati sarebbe fuorviante. Il caso resta però un ottimo esempio di come funziona la sicurezza moderna: un dispositivo robusto può cadere quando più difese vengono superate in sequenza.

Che cos’era DarkSword e quali iPhone colpiva

Secondo Google Threat Intelligence Group, DarkSword supportava iOS dalla versione 18.4 alla 18.7. La catena utilizzava sei vulnerabilità per arrivare da contenuto web ostile fino a privilegi a livello kernel.

GTIG ne ha osservato l’impiego almeno dal novembre 2025 da parte di fornitori di sorveglianza commerciale e attori sospettati di legami statali, in campagne che hanno interessato Arabia Saudita, Turchia, Malaysia e Ucraina. La stessa base tecnica è comparsa in mani differenti: è questo che rende il caso più importante del singolo zero-day.

Perché servivano sei vulnerabilità invece di una

Un iPhone moderno non affida la sicurezza a una sola barriera. Safari isola i contenuti web in processi con privilegi limitati, il sistema applica sandbox, protezioni della memoria e controlli di esecuzione. Un attaccante che parte da una pagina web deve quindi superare più livelli.

DarkSword combinava vulnerabilità in JavaScriptCore, componenti grafici e kernel. Una prima fase permetteva l’esecuzione di codice; altre vulnerabilità servivano per uscire dalle sandbox, aggirare protezioni e ottenere accesso più profondo al sistema.

È il concetto centrale di una exploit chain: una falla da sola non basta, ma una sequenza ben costruita può trasformare vulnerabilità parziali in compromissione completa.

Le vulnerabilità di DarkSword sono state corrette

Il quadro pubblicato da Google è molto preciso. CVE-2025-31277 è stata corretta in iOS 18.6; CVE-2025-43510 e CVE-2025-43520 in iOS 18.7.2 e 26.1; CVE-2025-43529 e CVE-2025-14174 in iOS 18.7.3 e 26.2; CVE-2026-20700 in iOS 26.3.

Questo significa che un dispositivo mantenuto su versioni successive e aggiornate non resta vulnerabile alla catena DarkSword nota nella forma descritta da GTIG. Non significa che iPhone sia invulnerabile, né che non possano esistere varianti o nuove catene. Significa semplicemente che una notizia di sicurezza va letta insieme alla sua timeline di patch.

Per questo la prima regola pratica della cybersecurity resta meno spettacolare di qualsiasi zero-day: aggiornare rapidamente.

Come veniva consegnato l’exploit

Le campagne osservate comprendevano anche tecniche di tipo watering hole: un sito veniva compromesso e usato per servire il codice di exploit ai visitatori selezionati. L’utente non doveva necessariamente installare volontariamente un’app malevola.

Questo non significa che visitare una pagina qualsiasi rendesse automaticamente vulnerabile ogni iPhone. L’attacco dipendeva dalla versione di iOS, dalla compatibilità della catena e dalla capacità dell’operatore di portare la vittima sul punto di consegna.

Dopo la compromissione arrivavano malware diversi

GTIG ha identificato tre famiglie di payload: GHOSTBLADE, GHOSTKNIFE e GHOSTSABER. In uno dei casi documentati, GHOSTKNIFE poteva raccogliere account, messaggi, dati del browser, cronologia di posizione, registrazioni, screenshot e audio.

Il valore di uno smartphone per un attaccante nasce dalla concentrazione: identità, autenticazione, comunicazioni, posizione, foto e accesso a servizi finanziari convivono nello stesso oggetto. Per questo gli exploit mobili di fascia alta hanno un valore enorme nel mercato della sorveglianza.

La storia di DarkSword è soprattutto una storia di proliferazione

Un exploit sofisticato può nascere come strumento molto costoso e mirato. Il problema cambia quando la stessa catena viene riutilizzata da più operatori. Google ha sottolineato proprio la proliferazione di DarkSword: una tecnologia di compromissione non rimane necessariamente confinata al gruppo che l’ha sviluppata.

È qui che la sicurezza incontra l’economia. Vulnerabilità, exploit, broker, fornitori di spyware e clienti statali o criminali formano un mercato. Più una catena circola, più aumenta la probabilità che venga adattata a campagne differenti.

Cosa fare oggi

Per l’utente comune la risposta non è installare un antivirus miracoloso. È mantenere il dispositivo aggiornato e ridurre la superficie d’attacco. Apple pubblica gli aggiornamenti nella pagina Security Releases.

• Installa rapidamente gli aggiornamenti di iOS.
• Evita profili di configurazione e software da fonti non affidabili.
• Usa autenticazione forte e proteggi gli account più sensibili.
• Se appartieni a una categoria esposta a sorveglianza mirata, valuta la Modalità di isolamento di Apple.
• Se hai indizi concreti di compromissione, non limitarti a “pulire” il telefono: considera account e credenziali potenzialmente esposti.

DarkSword non dimostra che la sicurezza di iPhone sia una finzione. Dimostra l’opposto: la sicurezza è un processo, non un’etichetta. Le protezioni costringono l’attaccante a concatenare vulnerabilità costose; le patch rompono quella catena; il ritardo negli aggiornamenti gli restituisce tempo.