Un nuevo y agresivo software espía diseñado para dispositivos iPhone, identificado como P7 DarkSword, ha sido detectado por investigadores de la empresa de seguridad móvil iVerify. Según un informe publicado en octubre de 2026, esta herramienta maliciosa posee la capacidad de acceder a información sumamente sensible, incluyendo contraseñas guardadas, fotografías, notas privadas y datos almacenados en monederos de criptomonedas.
El hallazgo de esta amenaza surgió a raíz del análisis de un dispositivo infectado en agosto de 2026, momento en el que los sistemas de seguridad de iVerify detectaron una actividad inusual en el teléfono de un cliente. Tras obtener el permiso del usuario, los especialistas examinaron el terminal y descubrieron que el software se comportaba de manera distinta a las variantes de DarkSword detectadas previamente, mostrando una capacidad de recopilación de datos mucho más potente y una comunicación remota más eficiente con los atacantes.
Para profundizar en el alcance de la amenaza, el equipo de iVerify utilizó la plataforma de inteligencia de amenazas Validin. Gracias a esta herramienta, localizaron otra versión del malware alojada en una infraestructura sospechosa, lo que permitió confirmar que los atacantes habían modificado el código original para volverlo más agresivo y, al mismo tiempo, más difícil de rastrear para los analistas de seguridad.
El nombre "P7" proviene de un prefijo encontrado en el código de programación del malware. Aunque este detalle es técnico, representa un cambio significativo en la operatividad del software: ahora el espía es capaz de recopilar una mayor cantidad de información directamente desde el dispositivo infectado, otorgando a los ciberdelincuentes un control más exhaustivo sobre las acciones posteriores a la infección.
Sobre el origen de esta herramienta, Apple indicó a CyberGuy que DarkSword nació originalmente como un software espía mercenario, desarrollado con una inversión económica considerable para ser utilizado en operaciones de vigilancia sofisticadas. Sin embargo, una filtración del código permitió que delincuentes comunes accedieran a esta tecnología, democratizando el uso de una herramienta que anteriormente estaba reservada solo para actores con recursos masivos.
Una vez que el P7 DarkSword logra comprometer un iPhone vulnerable, puede extraer datos críticos. Entre sus funciones principales se encuentra el acceso al llavero del iPhone, el sistema donde se almacenan las credenciales y contraseñas. Si bien la investigación no ha confirmado que todas estas claves sean recuperables en un formato legible, el riesgo de vulneración de cuentas es considerable. Asimismo, el malware puede buscar aplicaciones de monederos de criptomonedas para extraer datos asociados, habiéndose identificado una función dirigida específicamente a la aplicación imToken.
Otras de sus capacidades incluyen la recuperación de fotografías recientes mediante la base de datos de imágenes, la copia de las bases de datos de la aplicación Notas y la creación de un inventario de las aplicaciones instaladas para recuperar archivos específicos de su almacenamiento. Los investigadores advirtieron que, aunque estas capacidades técnicas existen en el código, no se ha probado que los atacantes hayan sustraído efectivamente todo este contenido en el caso analizado.
Uno de los aspectos más críticos es la frecuencia de comunicación con sus operadores. El malware utiliza un sistema de comando y control que verifica nuevas instrucciones cada 15 segundos, intervalo que puede ser modificado remotamente por los atacantes. Esto permite recibir órdenes en tiempo real para recopilar archivos específicos o ejecutar código JavaScript dentro de su propio entorno. Además, el software inyecta su componente de comunicación en SpringBoard, el proceso central de iOS responsable de la interfaz y la pantalla de inicio.
Para evitar ser detectados, los atacantes implementaron medidas para eliminar registros de diagnóstico y reducir actividades sospechosas durante las revisiones del dispositivo, complicando así el análisis forense. El método de distribución de P7 DarkSword se basa en ataques de "watering hole", distribuyéndose a través de sitios web comprometidos y anuncios maliciosos. Un usuario con un iPhone desactualizado podría infectarse simplemente navegando por internet.
Respecto a la protección, Apple señaló que las versiones anteriores de DarkSword afectaban a dispositivos con iOS 18.4 hasta iOS 18.7, vulnerabilidades que la compañía corrigió en 2025. Además, en marzo de 2026, se lanzó una actualización para dispositivos antiguos. A octubre de 2026, con iOS 27 como generación principal, Apple afirma que los iPhone que cuentan con las últimas actualizaciones disponibles, desde iOS 15 hasta iOS 27, permanecen protegidos frente a las vulnerabilidades conocidas asociadas a esta familia de malware.
