Una sofisticada cadena de explotación para iOS, conocida como DarkSword, ha salido del ámbito restringido de los grupos de amenaza que la utilizaban hasta ahora y empieza a circular fuera de esos entornos. La consecuencia es clara: el riesgo de ciberataques para millones de dispositivos iPhone y iPad sin actualizar se ha disparado.
La información ha saltado después de que el investigador de seguridad conocido como matteyeux lograra ejecutar con éxito el exploit en un iPad mini de sexta generación con iOS 18.6.2, obteniendo acceso completo de lectura y escritura en el kernel. Este hito técnico no solo confirma la eficacia del kit, sino que demuestra que ya no es una herramienta exclusiva de actores avanzados: su reutilización por otros atacantes es ahora una posibilidad real.
Un exploit “end-to-end” que rompe las defensas de iOS
DarkSword no es un exploit aislado, sino una cadena completa de ataque —un exploit chain— desarrollada en JavaScript que combina múltiples vulnerabilidades para comprometer el dispositivo de extremo a extremo. Su punto de entrada es relativamente sencillo y difícil de detectar: un ataque de tipo watering hole.
En este escenario, el usuario simplemente visita una web legítima previamente comprometida. En segundo plano, se carga un iframe malicioso que inicia la explotación sin necesidad de interacción adicional. A partir de ahí, el proceso es completamente automatizado.
El primer paso crítico consiste en escapar del sandbox de Safari WebContent, una de las principales barreras de seguridad de iOS. Para lograrlo, DarkSword explota estructuras internas del sistema dinámico de Apple (dyld) almacenadas en memoria escribible, lo que le permite esquivar mecanismos clave como Pointer Authentication Codes (PAC) y Trusted Path Read-Only (TPRO).
Una vez fuera del entorno restringido del navegador, el ataque continúa su progresión lateral a través del sistema.
Del navegador al kernel: la escalada completa
Tras romper el aislamiento inicial, los atacantes pivotan hacia el proceso de la GPU. Aquí aprovechan una vulnerabilidad de escritura fuera de límites (out-of-bounds write) en el motor gráfico ANGLE, ampliamente utilizado en renderizado web.
Este movimiento es clave, ya que permite al exploit ganar mayor control sobre el sistema y preparar el siguiente salto: el kernel de iOS.
La fase final de la cadena se centra en una vulnerabilidad de tipo Copy-On-Write en el controlador AppleM2ScalerCSCDriver, integrado en el núcleo XNU. Al explotarla, los atacantes obtienen primitivas de lectura y escritura arbitraria en memoria, lo que en la práctica equivale a control total del dispositivo.
Con este nivel de acceso, pueden desactivar restricciones del sandbox, acceder a sistemas de archivos protegidos y manipular el comportamiento del sistema operativo sin que el usuario lo perciba.
Espionaje avanzado y malware en memoria
DarkSword no es una prueba de concepto: ya ha sido utilizado en campañas reales. El grupo de inteligencia de amenazas de Google (Threat Intelligence Group) detectó su uso activo desde noviembre de 2025, atribuyéndolo al actor UNC6353, vinculado a operaciones de ciberespionaje con posible origen ruso.
Este grupo ya había empleado anteriormente otro kit de explotación para iOS, conocido como Coruna, lo que refuerza la hipótesis de que DarkSword forma parte de una evolución en sus capacidades ofensivas.
Los objetivos de estas campañas no han sido aleatorios. Según los investigadores, los ataques se han dirigido a víctimas en países como Ucrania, Arabia Saudí, Turquía y Malasia, lo que apunta a operaciones con motivación geopolítica.
Una vez comprometido el dispositivo, el malware se ejecuta íntegramente en memoria, dificultando enormemente su detección. A partir de ahí, se despliegan diferentes cargas maliciosas, entre ellas tres familias identificadas: GHOSTBLADE, GHOSTKNIFE y GHOSTSABER.
Estas herramientas están diseñadas para el robo de información altamente sensible, incluyendo mensajes cifrados, credenciales almacenadas y datos de monederos de criptomonedas.
Ante este escenario, la recomendación de los expertos es clara: actualizar los dispositivos Apple de forma inmediata. Las vulnerabilidades explotadas por DarkSword han sido corregidas en versiones más recientes del sistema operativo, concretamente a partir de iOS 26.1.
