中国語話者アクターがエクスプロイトキット「DarkSword」のリーク版を利用

佐々山 Tacos

2026.08.04

中国語話者アクターがエクスプロイトキット「DarkSword」のリーク版を利用

The Hacker News – Aug 03, 2026

中国語を話す脅威アクターが、エクスプロイトキット「DarkSword」を使ってApple iOSデバイスを標的にしているのをCensysが観測。詳細不明のこのアクターは、2026年3月後半にGitHub上にリークされたバージョンのDarkSwordを使用していたという。

DarkSwordは、複数のゼロデイ脆弱性を利用してデバイスを侵害するiOSエクスプロイトツール。遅くとも2025年11月以降、商用サーベイランス（監視）ベンダーや国家支援型アクターらによって、サウジアラビアやトルコ、マレーシア、ウクライナの標的を狙うために使われてきたとみられており、2026年3月中旬にGoogle（GTIG）・Lookout・iVerifyの報告によってその存在が公になった。そしてその直後に新たなバージョンのDarkSwordを何者かがGitHub上に公開したことで、誰もが簡単にこのツールを利用できる危険な状態が生まれていた。

アタックサーフェス管理プラットフォームのCensysによれば、現在DarkSwordを使用するオペレーターは少なくとも7人、あるいは場合によっては8人いる可能性があり、そのうち最も最近特定されたのが、この中国語を話すアクター。同アクターは、100をはるかに超えるWebプロパティを運用しており、その大半は、DarkSwordもホストされているドメイン上に設置された偽のAWSログインページをフロントエンドにしているという。これらのホスティングは香港に集中しているものの、日本や米国、ヨーロッパにも到達しているとCensysは述べている。

Censysは、「DarkSword Admin」と呼ばれるパネルのログインページを発見しており、このWebページ本文のハッシュ値が、2026年7月30日時点で以下7つのホストのものと一致していたことを発見している。

38.22.89[.]117:8888（香港）
103.97.128[.]67:8888（香港）
162.4.136[.]30:8888（香港）
223.26.63[.]56:8888（香港）
151.243.126[.]191:8888（香港）
107.175.49[.]181:3000（米国）
103.238.129[.]112:3000（日本）

このうち、Censysが共有した38.22.89[.]117:8888上のログインパネルのスクリーンショットには、「DarkSword Admin」というタイトルの下に、中国語で「用户名（ユーザー名）」、「密码（パスワード）」、「登录（ログイン）」と記されている。Censysはまた、このIPでは、「关键词雷达运营后台」と呼ばれるバックエンドと、日本のドラマに関するおとりページも観測されていたことも伝えた。

Censysの調査では、上記7つに加え、シンガポールの現在非アクティブなホスト（38.181.52[.]95）と、香港の別のホスト（103.106.190[.]217）の存在も浮かび上がっている。前者は、3つの異なるエクスプロイトパネル用フロントエンドのほか、別のiOSエクスプロイトキットである「Coruna」の管理パネルを公開しており、後者は同一のIPアドレスおよびポート上で、Apple ID認証情報収集用のデコイとエクスプロイトチェーンのステージングを同時にホストしていたとされる。

関連記事：：政府向けiPhoneハッキングツール「Coruna」、サイバー犯罪者にも使用されるように

攻撃の流れは一貫しており、被害者が攻撃者のドメイン（AWSコンソールのなりすましサブドメインまたはApple IDのサインインページ）にアクセスした時点で開始。その後、悪意あるiframe要素によってJavaScriptが読み込まれ、DarkSwordチェーンが起動されて、最終的にGHOSTBLADEモジュールが展開されるという。

エクスプロイトが成功すると、このインプラントはキーチェーン・iCloud・Wi-Fiの認証情報をダンプするモジュールを展開し、ファイルの外部流出スキャンを開始。収集されたデータはパッケージ化され、攻撃者が制御するエンドポイントへ送信される。その後、攻撃者は「DarkSword Admin」、「Decode Dashboard」、または「C2 Control Panel」のいずれかの管理パネルにログインし、盗み出したデータを抽出するという。

「C2 Control Panel」は前述の103.106.190[.]217と、Decode Dashboardは以下3件のIPアドレスと関連付けられている。

103.226.155[.]200 (Decode Dashboard)
103.226.155[.]201 (Decode Dashboard)
202.8.120[.]249 (Decode Dashboard)

また、Censysはドイツ・フランクフルトのIPアドレス（93.152.221[.]37）にも言及。これは今回の攻撃キャンペーンのオペレーターが作業用に使用していたサーバーである可能性が高く、ここからSSH鍵コンポーネント「jkcing@apt」やWebコンテンツファザーのほか、「Thorn C2」と名付けられた別のログインパネルなどのツールの存在が明らかになったとされる。Thorn C2はこれまで文書化されたことのないマルウェアファミリーだろうと考えられている。

Censysのブログ記事では、さらに詳しい解説やIoCが確認できる。