{"id":498141,"date":"2026-10-10T20:02:14","date_gmt":"2026-10-10T17:02:14","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=498141"},"modified":"2026-10-10T20:02:14","modified_gmt":"2026-10-10T17:02:14","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=498141","title":{"rendered":"DarkSword \u00abP7\u00bb: \u0443\u0442\u0451\u043a\u0448\u0430\u044f iOS-\u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0443\u0440\u043e\u0432\u043d\u044f \u0433\u043e\u0441\u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u0442\u0435\u043f\u0435\u0440\u044c \u043a\u0440\u0430\u0434\u0451\u0442 \u0434\u0430\u043d\u043d\u044b\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/a5\/f2\/87\/a5f2870cdeeb43a59af3dad08577c19e.jpeg\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/a5\/f2\/87\/a5f2870cdeeb43a59af3dad08577c19e.jpeg 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/a5\/f2\/87\/a5f2870cdeeb43a59af3dad08577c19e.jpeg 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<h3>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435<\/h3>\n<p>\u041e\u0434\u043d\u043e \u043f\u043e\u0441\u0435\u0449\u0435\u043d\u0438\u0435 \u0432\u0435\u0431-\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0441 iPhone \u043d\u0430 iOS 18.4\u201318.7 \u2014 \u0438 \u0447\u0435\u0440\u0435\u0437 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0435\u043a\u0443\u043d\u0434 \u0432 SpringBoard \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0438\u043c\u043f\u043b\u0430\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0441\u0432\u044f\u0437\u043a\u0443 \u043a\u043b\u044e\u0447\u0435\u0439 \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435, \u043d\u0430\u0445\u043e\u0434\u0438\u0442 seed-\u0444\u0440\u0430\u0437\u044b \u0438 keystore \u043a\u0440\u0438\u043f\u0442\u043e\u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u0445 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \u0415\u0449\u0451 \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u0442\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b\u0430 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430\u044f \u0435\u0434\u0438\u043d\u0438\u0446\u0430\u043c \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u041f\u043e \u043d\u0430\u0448\u0435\u0439 \u043e\u0446\u0435\u043d\u043a\u0435, \u0441\u0435\u0433\u043e\u0434\u043d\u044f \u044d\u0442\u0430 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u043e\u0432 \u0441 \u043f\u0430\u0440\u0442\u043d\u0451\u0440\u0441\u043a\u0438\u043c\u0438 \u00ab\u043a\u0430\u043d\u0430\u043b\u0430\u043c\u0438\u00bb, \u0430 \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430\u043c\u0438 \u0441\u043b\u0443\u0436\u0430\u0442 \u0441\u0430\u0439\u0442\u044b \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u0438\u0445 \u043e\u043d\u043b\u0430\u0439\u043d-\u043a\u0430\u0437\u0438\u043d\u043e.<\/p>\n<p>8 \u043e\u043a\u0442\u044f\u0431\u0440\u044f iVerify \u043e\u043f\u0438\u0441\u0430\u043b\u0430 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442-\u0446\u0435\u043f\u043e\u0447\u043a\u0438 DarkSword, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0437\u0432\u0430\u043b\u0430 \u00abP7\u00bb. \u041c\u044b \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b\u0438 \u0435\u0433\u043e \u043f\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0438 \u043d\u0430\u0448\u043b\u0438 \u0442\u043e, \u0447\u0435\u0433\u043e \u0432 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0435\u0442: \u0442\u0440\u0435\u0442\u044c\u044e \u0441\u0431\u043e\u0440\u043a\u0443 P7 \u0441 \u043d\u043e\u0432\u043e\u0439 \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u043e\u0439 \u0438 \u043d\u043e\u0432\u044b\u043c \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c, \u043f\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u0430 \u0441 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u043c GHOSTBLADE \u0438 \u043a\u043b\u0430\u0441\u0442\u0435\u0440 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u00abqqtime\u00bb, \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0441 \u0438\u044e\u043b\u044f 2026 \u0433\u043e\u0434\u0430. \u0417\u0430\u043e\u0434\u043d\u043e \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043e\u0448\u0438\u0431\u043a\u0443 \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043a\u043e\u0447\u0435\u0432\u0430\u043b\u0430 \u043f\u043e \u0440\u0430\u043d\u043d\u0438\u043c \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f\u043c \u043e \u043c\u0430\u0440\u0442\u043e\u0432\u0441\u043a\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 TA446.<\/p>\n<p> ## \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DarkSword \u0438 \u043a\u0430\u043a \u043e\u043d \u0443\u0442\u0451\u043a <\/p>\n<p>DarkSword \u2014 \u043f\u043e\u043b\u043d\u0430\u044f \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442-\u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0434\u043b\u044f iOS, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u0430\u044f \u043d\u0430 JavaScript. \u0412 \u043c\u0430\u0440\u0442\u0435 2026 \u0433\u043e\u0434\u0430 Google Threat Intelligence Group (GTIG) \u043e\u043f\u0438\u0441\u0430\u043b\u0430 \u0435\u0451 \u0432 \u043e\u0442\u0447\u0451\u0442\u0435 \u00abThe Proliferation of DarkSword\u00bb. \u0426\u0435\u043f\u043e\u0447\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0435\u0441\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0442\u0440\u0438 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0431\u044b\u043b\u0438 zero-day:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">CVE<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0420\u043e\u043b\u044c \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CVE-2025-31277, CVE-2025-43529<\/p>\n<\/td>\n<td>\n<p align=\"left\">JavaScriptCore<\/p>\n<\/td>\n<td>\n<p align=\"left\">RCE \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 (iOS \u043d\u0438\u0436\u0435 \u0438 \u0432\u044b\u0448\u0435 18.6)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CVE-2026-20700<\/p>\n<\/td>\n<td>\n<p align=\"left\">dyld<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0431\u0445\u043e\u0434 PAC<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CVE-2025-14174<\/p>\n<\/td>\n<td>\n<p align=\"left\">ANGLE<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u0437 WebContent \u0432 GPU-\u043f\u0440\u043e\u0446\u0435\u0441\u0441<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CVE-2025-43510<\/p>\n<\/td>\n<td>\n<p align=\"left\">XNU<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u0437 GPU-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0432 mediaplaybackd<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CVE-2025-43520<\/p>\n<\/td>\n<td>\n<p align=\"left\">XNU VFS (\u0433\u043e\u043d\u043a\u0430)<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0434\u043e \u044f\u0434\u0440\u0430<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>Apple \u0437\u0430\u043a\u0440\u044b\u043b\u0430 \u0438\u0445 \u0432 iOS 18.7.2, 18.7.3, 26.1, 26.2 \u0438 26.3.<\/p>\n<p>\u0414\u043e \u0443\u0442\u0435\u0447\u043a\u0438 \u0443 GTIG \u0431\u044b\u043b\u043e \u0442\u0440\u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0438: UNC6748 (\u0421\u0430\u0443\u0434\u043e\u0432\u0441\u043a\u0430\u044f \u0410\u0440\u0430\u0432\u0438\u044f, \u043d\u043e\u044f\u0431\u0440\u044c 2025, \u0431\u044d\u043a\u0434\u043e\u0440 GHOSTKNIFE), PARS Defense, \u043a\u043e\u0442\u043e\u0440\u0443\u044e GTIG \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0437\u0443\u0435\u0442 \u043a\u0430\u043a \u0442\u0443\u0440\u0435\u0446\u043a\u043e\u0433\u043e \u043f\u043e\u0441\u0442\u0430\u0432\u0449\u0438\u043a\u0430 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0439 \u0441\u043b\u0435\u0436\u043a\u0438 (\u0431\u044d\u043a\u0434\u043e\u0440 GHOSTSABER) \u0438 UNC6353 \u2014 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0448\u043f\u0438\u043e\u043d\u0441\u043a\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b\u0430 \u0443\u043a\u0440\u0430\u0438\u043d\u0441\u043a\u0438\u0435 \u0441\u0430\u0439\u0442\u044b \u043f\u043e \u0441\u0445\u0435\u043c\u0435 watering hole \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0441 Coruna, \u0430 \u0441 \u0434\u0435\u043a\u0430\u0431\u0440\u044f 2025 \u0433\u043e\u0434\u0430 \u0441 DarkSword \u0438 \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u043e\u043c-\u0441\u0431\u043e\u0440\u0449\u0438\u043a\u043e\u043c \u0434\u0430\u043d\u043d\u044b\u0445 GHOSTBLADE. \u041f\u043e \u043e\u0446\u0435\u043d\u043a\u0435 GTIG, GHOSTBLADE, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u043d\u0430\u043f\u0438\u0441\u0430\u043b\u0438 \u0441\u0430\u043c\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 DarkSword. \u041a\u0442\u043e \u043e\u043d\u0438 \u2014 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e.<\/p>\n<p>22 \u043c\u0430\u0440\u0442\u0430 2026 \u0433\u043e\u0434\u0430 \u043f\u043e\u043b\u043d\u0430\u044f \u0441\u0431\u043e\u0440\u043a\u0430 (\u043a\u0438\u0442 UNC6353 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 GHOSTBLADE) \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435. \u0427\u0435\u0440\u0435\u0437 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u043d\u0435\u0439 \u0435\u0451 \u0443\u0436\u0435 \u043f\u0435\u0440\u0435\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u0440\u0443\u0433\u0438\u0435: \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0430 TA446 \/ Star Blizzard \u043f\u0440\u043e\u0442\u0438\u0432 \u0433\u0440\u0430\u0436\u0434\u0430\u043d\u0441\u043a\u043e\u0433\u043e \u043e\u0431\u0449\u0435\u0441\u0442\u0432\u0430. \u041a \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044e iVerify \u043d\u0430\u0441\u0447\u0438\u0442\u0430\u043b\u0430 \u043e\u043a\u043e\u043b\u043e 17 000 \u0434\u043e\u043c\u0435\u043d\u043e\u0432 \u0441\u043e \u0432\u0442\u043e\u0440\u044b\u043c \u043f\u043e\u043a\u043e\u043b\u0435\u043d\u0438\u0435\u043c DarkSword \u0438 Coruna \u0438 \u0432\u0432\u0435\u043b\u0430 \u0442\u0435\u0440\u043c\u0438\u043d \u00abDarkCoruna\u00bb \u0434\u043b\u044f \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u0439, \u0441\u043e\u0432\u043c\u0435\u0449\u0430\u044e\u0449\u0438\u0445 \u043e\u0431\u0435 \u0446\u0435\u043f\u043e\u0447\u043a\u0438: Coruna \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 iOS 13\u201317.2.1, DarkSword \u2014 18.x.<\/p>\n<h3>\u0427\u0442\u043e iVerify \u043d\u0430\u0437\u0432\u0430\u043b\u0430 P7<\/h3>\n<p>\u0412 \u043f\u043e\u0441\u0442\u0435 \u00abSleep, Beacon, Steal, Repeat\u00bb \u043e\u0442 8 \u043e\u043a\u0442\u044f\u0431\u0440\u044f iVerify \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 P7 \u043f\u043e \u0437\u0430\u0440\u0430\u0436\u0451\u043d\u043d\u043e\u043c\u0443 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0443 \u043a\u043b\u0438\u0435\u043d\u0442\u0430. \u0418\u043c\u043f\u043b\u0430\u043d\u0442 \u0436\u0438\u0432\u0451\u0442 \u0432 SpringBoard, \u043a\u0430\u0436\u0434\u044b\u0435 15 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u043e HTTP\/1.0 \u0441\u0442\u0443\u0447\u0438\u0442\u0441\u044f \u043d\u0430 <code>\/beacon<\/code>, \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 <code>sleep<\/code>, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 <code>\/result<\/code>, <code>\/a<\/code>, <code>\/event<\/code>, <code>\/u<\/code>, <code>\/nb<\/code>, <code>\/p<\/code> \u0438 <code>\/war<\/code>, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0436\u0451\u0441\u0442\u043a\u043e \u0437\u0430\u0434\u0430\u043d\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 User-Agent \u0434\u043b\u044f iOS 18.5 \u0438 \u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u0442\u0435\u043b\u044c multipart, \u0430 \u0441\u0432\u044f\u0437\u043a\u0443 \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0432 JSON \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435. \u041f\u0440\u0435\u0444\u0438\u043a\u0441 <code>p7_<\/code> \u0432 \u043a\u043e\u0434\u0435 \u0430\u0433\u0435\u043d\u0442\u0430 \u0434\u0430\u043b \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0443 \u0438\u043c\u044f.<\/p>\n<p>iVerify \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0445\u0435\u0448\u0438 \u0434\u0435\u0441\u044f\u0442\u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 P7. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043d\u0430\u0448\u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 VirusTotal \u0431\u044b\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u0432\u0430 \u0438\u0437 \u043d\u0438\u0445, \u0430 \u0441\u0430\u043c \u0430\u0433\u0435\u043d\u0442 \u2014 \u043d\u0438\u0433\u0434\u0435.<\/p>\n<h3>\u041a\u0430\u043a \u043c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438: \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u044b\u0435 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438<\/h3>\n<p>\u041f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f: \u043c\u044b \u043d\u0435 \u043e\u0431\u0440\u0430\u0449\u0430\u043b\u0438\u0441\u044c \u043d\u0438 \u043a \u043e\u0434\u043d\u043e\u043c\u0443 \u0445\u043e\u0441\u0442\u0443 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445. \u0412\u0441\u0451 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043e \u0438\u0437 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0443\u0436\u0435 \u043b\u0435\u0436\u0438\u0442 \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435:<\/p>\n<ul>\n<li>\n<p><strong>urlscan.io<\/strong> \u2014 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u0441\u043a\u0430\u043d\u044b \u0441\u0442\u0440\u0430\u043d\u0438\u0446-\u043f\u0440\u0438\u043c\u0430\u043d\u043e\u043a. urlscan \u0445\u0440\u0430\u043d\u0438\u0442 \u0442\u0435\u043b\u0430 \u043e\u0442\u0432\u0435\u0442\u043e\u0432, \u0438 \u0438\u0445 \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u044c \u043f\u043e \u0445\u0435\u0448\u0443. \u0412\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u043c\u044b \u0441\u0432\u0435\u0440\u044f\u043b\u0438 \u0441 \u0445\u0435\u0448\u0430\u043c\u0438 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0433\u043e \u043a\u0440\u0430\u0443\u043b\u0435\u0440\u0430 \u0442\u0430\u043c, \u0433\u0434\u0435 \u043e\u043d\u0438 \u0431\u044b\u043b\u0438.<\/p>\n<\/li>\n<li>\n<p><strong>tria.ge<\/strong> \u2014 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u0430\u044f \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430; 3 \u043e\u043a\u0442\u044f\u0431\u0440\u044f \u0442\u0443\u0434\u0430 \u043a\u0442\u043e-\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b \u0430\u0440\u0445\u0438\u0432 \u0441 \u043f\u043e\u043b\u043d\u044b\u043c \u043a\u0438\u0442\u043e\u043c DarkSword.<\/p>\n<\/li>\n<li>\n<p><strong>MWDB CERT Polska<\/strong> \u2014 \u043e\u0431\u0440\u0430\u0437\u0435\u0446 GHOSTBLADE, \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0439 GTIG, \u0438 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044c\u0441\u043a\u0438\u0439 \u043a\u0438\u0442 DarkSword \u0438\u0437 \u0444\u0438\u0434\u0430 MalwareBazaar \u043a\u0430\u043a \u044d\u0442\u0430\u043b\u043e\u043d\u044b \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f.<\/p>\n<\/li>\n<li>\n<p><strong>VirusTotal, Hybrid Analysis, AlienVault OTX, Validin<\/strong> \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435: \u0434\u0430\u0442\u044b \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u044f, \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u044b\u0439 DNS, \u0434\u0430\u043d\u043d\u044b\u0435 WHOIS \u0438 \u043d\u0435\u0447\u0451\u0442\u043a\u0438\u0435 \u0445\u0435\u0448\u0438. \u041d\u0438\u043a\u0430\u043a\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043c\u044b \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438.<\/p>\n<\/li>\n<\/ul>\n<p>\u041a\u043e\u0434 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438, \u043e\u0444\u043b\u0430\u0439\u043d, \u0431\u0435\u0437 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f JavaScript \u0432 \u043a\u0430\u043a\u043e\u043c-\u043b\u0438\u0431\u043e \u0440\u0430\u043d\u0442\u0430\u0439\u043c\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 WebKit \u0438\u043b\u0438 JavaScriptCore.<\/p>\n<h3>\u041d\u0430\u0445\u043e\u0434\u043a\u0430 1: \u0442\u0440\u0435\u0442\u044c\u044f \u0441\u0431\u043e\u0440\u043a\u0430 P7<\/h3>\n<p>\u0410\u0440\u0445\u0438\u0432 <code>test.zip<\/code> (SHA-256 <code>ef9263b1\u2026<\/code>, 437 \u041a\u0411), \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0439 \u0432 tria.ge 3 \u043e\u043a\u0442\u044f\u0431\u0440\u044f 2026 \u0433\u043e\u0434\u0430, \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043f\u043e\u043b\u043d\u043e\u0435 \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u0435 DarkSword \u0441 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u043e\u0442 29 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0424\u0430\u0439\u043b<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0420\u0430\u0437\u043c\u0435\u0440<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u041d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>index.html<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">51 385 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0438\u043c\u0430\u043d\u043a\u0430: \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0435 \u043e\u043d\u043b\u0430\u0439\u043d-\u043a\u0430\u0437\u0438\u043d\u043e \u00ab\u901a\u535a\u5a31\u4e50 \u2013 www.iospc8[.]com\u00bb, \u0441\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 <code>ub555[.]net<\/code> \/ <code>ub11[.]org<\/code> (\u0431\u0440\u0435\u043d\u0434 \u00ab\u043a\u0430\u0437\u0438\u043d\u043e-\u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u00bb)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>jmp.html<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">2 215 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u0442\u0430\u0440\u0442\u043e\u0432\u0430\u044f \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430: \u043f\u044f\u0442\u044c \u0441\u043a\u0440\u044b\u0442\u044b\u0445 iframe \u0441 \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b\u043e\u043c 1,5 \u0441, \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0432 sessionStorage (<code>rce_locked<\/code>, <code>uid<\/code>), \u0430\u0432\u0442\u043e\u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 45 \u0441<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>0kio7x2igj0bp79owd.html<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">836 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u0442\u043e\u0440\u043e\u0436: \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443, \u0435\u0441\u043b\u0438 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u0437\u0430\u0432\u0438\u0441<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>rce_loader.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">7 318 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u0431\u043e\u0440 \u0441\u0442\u0430\u0434\u0438\u0438 \u0432 \u0441\u0442\u0438\u043b\u0435 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e \u043a\u0438\u0442\u0430, \u043d\u043e \u0441 \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u0439 \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0435\u0439 (<code>SERVER_LOG = true<\/code>, <code>\/log.html<\/code>) \u0438 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u043c \u043d\u0430 <code>\/406.html<\/code> \u0434\u043b\u044f \u043d\u0435\u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>rce_module.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">173 079 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">RCE-\u043c\u043e\u0434\u0443\u043b\u044c CVE-2025-31277, SHA-256 <code>92c7d246\u2026<\/code> \u2014 \u043d\u0435 \u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0441\u043e \u0441\u0431\u043e\u0440\u043e\u043a UNC6353, TA446 \u0438 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>rce_worker_18.4.js<\/code> \/ <code>18.6.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">45 \u041a\u0411 \/ 520 \u041a\u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u043e\u0440\u043a\u0435\u0440\u044b \u0434\u043b\u044f iOS 18.4\u201318.5 \u0438 18.6\u201318.7<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>sbx0_main_18.4.js<\/code> \/ <code>sbx1_main.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">400 \u041a\u0411 \/ 310 \u041a\u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u0445\u043e\u0434 \u0438\u0437 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>pe_main.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">793 879 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u042d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u044f\u0434\u0440\u0430 + \u0431\u0430\u043d\u0434\u043b \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u0430. \u041d\u0430 15 \u041a\u0411 \u0431\u043e\u043b\u044c\u0448\u0435 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u0430 \u2014 \u0437\u0434\u0435\u0441\u044c \u0438 \u0436\u0438\u0432\u0451\u0442 P7<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0414\u043e\u043c\u0435\u043d \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 <code>iospc8[.]com<\/code> \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d 23 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f 2026 \u0433\u043e\u0434\u0430 (GoDaddy, DNS Cloudflare) \u2014 \u0437\u0430 \u0448\u0435\u0441\u0442\u044c \u0434\u043d\u0435\u0439 \u0434\u043e \u0441\u0431\u043e\u0440\u043a\u0438 \u043a\u0438\u0442\u0430. \u041f\u043e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u043c \u0438 DNS-\u0434\u0430\u043d\u043d\u044b\u043c, \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 <code>www.y21t8bcya6q9b7155a[.]cc<\/code> \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d 25 \u043c\u0430\u044f 2026 \u0433\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 Gname.com, \u0441\u0442\u0440\u0430\u043d\u043e\u0439 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u043d\u0442\u0430 \u0443\u043a\u0430\u0437\u0430\u043d \u041a\u0438\u0442\u0430\u0439; \u0434\u043e\u043c\u0435\u043d \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0437\u0430 Cloudflare, \u0430 \u0434\u043e \u043f\u0435\u0440\u0435\u0435\u0437\u0434\u0430 \u0437\u0430 CDN \u043a\u0440\u0430\u0442\u043a\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u043b\u0441\u044f \u0432 \u0430\u0434\u0440\u0435\u0441 Alibaba Cloud \u0432 \u0413\u043e\u043d\u043a\u043e\u043d\u0433\u0435. \u041f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u044b \u0437\u0434\u0435\u0441\u044c \u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0430\u043a \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b. \u041d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u044d\u0442\u0438\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432 \u043d\u0435\u0442 \u0432 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u0430\u0445 iVerify.<\/p>\n<p>\u0428\u0430\u043f\u043a\u0430 \u0430\u0433\u0435\u043d\u0442\u0430 \u043e\u0442\u043a\u0440\u043e\u0432\u0435\u043d\u043d\u0430: \u00abC2 Agent Payload \u2013 persistent loop in SpringBoard. Communicates with command.py via HTTP \u2026 replaced by server.py at load time\u00bb. \u0421\u0443\u0434\u044f \u043f\u043e \u044d\u0442\u043e\u043c\u0443 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044e, \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u2014 Python-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043f\u0440\u0438 \u0432\u044b\u0434\u0430\u0447\u0435 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 URL \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0432 \u0438\u043c\u043f\u043b\u0430\u043d\u0442. \u0415\u0449\u0451 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435 \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430 <code>C2_CHANNEL_CODE<\/code>: \u043e\u043d\u0430 \u0443\u0445\u043e\u0434\u0438\u0442 \u043f\u043e\u043b\u0435\u043c <code>source<\/code> \u0432 \u043a\u0430\u0436\u0434\u043e\u0439 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438, heartbeat \u0438 \u0438\u043d\u0432\u0435\u043d\u0442\u0430\u0440\u0438\u0437\u0430\u0446\u0438\u0438. \u041a\u043e\u0434 \u043a\u0430\u043d\u0430\u043b\u0430 \u2014 \u044d\u0442\u043e \u0442\u043e, \u0447\u0435\u043c \u043f\u0430\u0440\u0442\u043d\u0451\u0440\u0441\u043a\u0438\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442 \u0442\u0440\u0430\u0444\u0438\u043a. \u0415\u0433\u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043a\u0438\u0442 \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0438\u0442\u0435\u043b\u0435\u0439, \u0430 \u043d\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0422\u043e\u0442 \u0436\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u043c\u044b \u043f\u043e\u0442\u043e\u043c \u043d\u0430\u0448\u043b\u0438 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438.<\/p>\n<h3>\u041d\u0430\u0445\u043e\u0434\u043a\u0430 2: \u0447\u0442\u043e P7 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043c\u0435\u043d\u044f\u0435\u0442<\/h3>\n<h4>\u041f\u043e\u043c\u043e\u0434\u0443\u043b\u044c\u043d\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0441 GHOSTBLADE<\/h4>\n<p><code>pe_main.js<\/code> \u2014 webpack-\u0431\u0430\u043d\u0434\u043b. \u041f\u043e\u043c\u0438\u043c\u043e \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0432 \u043d\u0451\u043c \u0441\u0442\u0440\u043e\u043a\u0430\u043c\u0438 \u0437\u0430\u0448\u0438\u0442\u044b \u0447\u0435\u0442\u044b\u0440\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0435 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438: <code>loader.js<\/code>, <code>c2_agent.js<\/code>, <code>keychain_copier.js<\/code> \u0438 <code>MigFilterBypassThread.js<\/code>. \u041c\u044b \u0438\u0437\u0432\u043b\u0435\u043a\u043b\u0438 \u0438\u0445 \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u043b\u0438 \u0441 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u043c\u0438 \u043c\u043e\u0434\u0443\u043b\u044f\u043c\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u0430 GHOSTBLADE, \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e GTIG (SHA-256 <code>2e5a56be\u2026<\/code>).<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041c\u043e\u0434\u0443\u043b\u044c<\/p>\n<\/th>\n<th>\n<p align=\"left\">GHOSTBLADE<\/p>\n<\/th>\n<th>\n<p align=\"left\">P7, \u0441\u0431\u043e\u0440\u043a\u0430 3<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0412\u0435\u0440\u0434\u0438\u043a\u0442<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>loader.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">10 096 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\">10 096 \u0411<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041f\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u043e \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u0435\u043d.<\/strong> \u00abP7 loader\u00bb \u0438\u0437 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u0445\u0435\u0448\u0435\u0439 \u2014 \u044d\u0442\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a GHOSTBLADE; \u043e\u0442\u0441\u044e\u0434\u0430 \u043d\u043e\u043b\u044c \u0434\u0435\u0442\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 VirusTotal<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>MigFilterBypassThread.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">3 797 \u0441\u0442\u0440\u043e\u043a<\/p>\n<\/td>\n<td>\n<p align=\"left\">3 797 \u0441\u0442\u0440\u043e\u043a<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041a\u043e\u0434 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u0435\u043d, \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0444\u043e\u0440\u043c\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u0441\u043a\u043e\u0431\u043e\u043a \u0432 \u043a\u043e\u043d\u0446\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>keychain_copier.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">350 \u0441\u0442\u0440\u043e\u043a<\/p>\n<\/td>\n<td>\n<p align=\"left\">360 \u0441\u0442\u0440\u043e\u043a<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u0435\u0440\u0441\u0438\u044f GHOSTBLADE \u043f\u043b\u044e\u0441 WAL\/SHM-\u0444\u0430\u0439\u043b\u044b <code>keychain-2.db<\/code> \u0438 \u0431\u0430\u0437\u0430 Apple Notes<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>file_downloader.js<\/code> \u2192 <code>c2_agent.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">3 740 \u0441\u0442\u0440\u043e\u043a, \u043e\u0434\u043d\u043e\u0440\u0430\u0437\u043e\u0432\u044b\u0439 \u044d\u043a\u0441\u0444\u0438\u043b \u043d\u0430 <code>sqwas.shapelie[.]com<\/code> \u0441 <code>X-Device-UUID<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">4 756 \u0441\u0442\u0440\u043e\u043a<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041f\u0435\u0440\u0435\u043f\u0438\u0441\u0430\u043d.<\/strong> \u041e\u0431\u0449\u0438\u0439 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043b\u0430\u0441\u0441-\u0445\u0435\u043b\u043f\u0435\u0440 <code>Native<\/code> (2,5 % \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0449\u0438\u0445 \u0441\u0442\u0440\u043e\u043a). \u0421\u0431\u043e\u0440\u0449\u0438\u043a\u0438 Telegram, WhatsApp, iCloud, Wi-Fi \u0438 SMS \u0443\u0431\u0440\u0430\u043d\u044b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>wifi_password_dump.js<\/code>, <code>wifi_password_securityd.js<\/code>, <code>icloud_dumper.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0435\u0441\u0442\u044c<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043d\u0435\u0442<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0423\u0434\u0430\u043b\u0435\u043d\u044b \u2014 \u0430 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u043d\u0438\u043c\u0438 \u0432\u0441\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 YARA-\u043f\u0440\u0430\u0432\u0438\u043b\u0430 GTIG <code>G_Datamine_GHOSTBLADE_1<\/code><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0418\u043d\u0430\u0447\u0435 \u0433\u043e\u0432\u043e\u0440\u044f, \u0430\u0432\u0442\u043e\u0440\u044b P7 \u043d\u0435 \u0442\u0440\u043e\u0433\u0430\u043b\u0438 \u0441\u0430\u043c\u0443\u044e \u0441\u043b\u043e\u0436\u043d\u0443\u044e \u0447\u0430\u0441\u0442\u044c DarkSword \u2014 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 TaskRop \u0438 \u043e\u0431\u0445\u043e\u0434 MIG-\u0444\u0438\u043b\u044c\u0442\u0440\u0430 \u2014 \u0438 \u0437\u0430\u043c\u0435\u043d\u0438\u043b\u0438 \u0431\u0438\u0437\u043d\u0435\u0441-\u043b\u043e\u0433\u0438\u043a\u0443. \u042d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u00ab\u043d\u043e\u0432\u044b\u0439\u00bb \u0438\u043c\u043f\u043b\u0430\u043d\u0442 \u0431\u043e\u043b\u044c\u0448\u0435\u0439 \u0447\u0430\u0441\u0442\u044c\u044e \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 \u0431\u0430\u0439\u0442\u043e\u0432 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e.<\/p>\n<h4>\u041a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0430\u0433\u0435\u043d\u0442<\/h4>\n<p><code>c2_agent.js<\/code> \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442\u0441\u044f \u0432 SpringBoard \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0434\u043e \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041e\u043d \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e (<code>\/a<\/code>), \u0437\u0430\u0442\u0435\u043c \u0432 \u0446\u0438\u043a\u043b\u0435 \u0440\u0430\u0437 \u0432 15 \u0441\u0435\u043a\u0443\u043d\u0434 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 beacon <code>{uuid, device_info, status: \"idle\"}<\/code>, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u0443\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0430 <code>\/result<\/code> \u0441 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0430\u043c\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0438 \u0437\u0430\u0434\u0430\u0447\u0438. \u0422\u0440\u0430\u043d\u0441\u043f\u043e\u0440\u0442 \u2014 HTTP\/1.0 \u0447\u0435\u0440\u0435\u0437 CFStream \u0441 <code>kCFStreamSSLValidatesCertificateChain = false<\/code>, \u0442\u043e \u0435\u0441\u0442\u044c \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043b\u044e\u0431\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.<\/p>\n<p>\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438: <code>basic_info<\/code>, <code>disk_scan<\/code>, <code>ios_app_data<\/code>, <code>wallet_extract<\/code>, <code>wallet_scan<\/code>, <code>memo_scan<\/code>, <code>photo_scan<\/code>, <code>photos<\/code>, <code>apps<\/code>, <code>download<\/code>, <code>upload<\/code>, <code>file_upload<\/code>, <code>exec<\/code>, <code>eval<\/code>, <code>execute_command<\/code>, <code>sleep<\/code>, <code>exit<\/code>. \u041e\u0434\u0438\u043d \u0442\u043e\u043b\u044c\u043a\u043e <code>execute_command<\/code> \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u043e\u043a\u043e\u043b\u043e \u043f\u044f\u0442\u0438\u0434\u0435\u0441\u044f\u0442\u0438 shell-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u043f\u043e\u0434\u043a\u043e\u043c\u0430\u043d\u0434 (<code>ls<\/code>, <code>cat<\/code>, <code>find<\/code>, <code>grep<\/code>, <code>ps<\/code>, <code>netstat<\/code>, <code>ifconfig<\/code>, <code>hexdump<\/code>, <code>memdump<\/code>, <code>httpspy<\/code> \u0438 \u0434\u0440\u0443\u0433\u0438\u0435) \u2014 \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0443 \u0431\u0435\u0437 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u0433\u043e \u0448\u0435\u043b\u043b\u0430.<\/p>\n<p>\u041d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u043e\u0441\u0442\u044c \u043d\u0430 \u043a\u043e\u0448\u0435\u043b\u044c\u043a\u0438 \u043f\u0440\u044f\u043c\u0430\u044f. \u0410\u0433\u0435\u043d\u0442 \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u044b \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u043f\u043e bundle ID \u0434\u043b\u044f imToken, TokenPocket, Trust Wallet, Bitget \/ BitKeep, Phantom, Solflare, Uniswap, Tonhub, Bitpie \u0438 TronLink, \u0447\u0438\u0442\u0430\u0435\u0442 \u0431\u0430\u0437\u044b React Native AsyncStorage, \u0430 \u0434\u043b\u044f imToken \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 Ethereum keystore v3 \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435 (PBKDF2, AES-CTR, HMAC-SHA256 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043d\u0430 JavaScript) \u043f\u0430\u0440\u043e\u043b\u0435\u043c, \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u043c \u0432 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0432\u044f\u0437\u043a\u0435 \u043a\u043b\u044e\u0447\u0435\u0439. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0434\u0430\u043c\u043f\u043e\u043c keychain \u0443\u0445\u043e\u0434\u0438\u0442 \u043d\u0430 <code>\/war<\/code>.<\/p>\n<h4>\u00abP7 Phase 2\u00bb: AppleKeyStore \u043a\u0430\u043a \u043e\u0440\u0430\u043a\u0443\u043b<\/h4>\n<p>\u041f\u043e-\u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u043c\u0443 \u043d\u043e\u0432\u0430\u044f \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0438\u044f \u2014 \u043d\u0435 \u0432 \u0430\u0433\u0435\u043d\u0442\u0435, \u0430 \u0432 \u0441\u0430\u043c\u043e\u043c <code>pe_main.js<\/code>, \u0432 \u0431\u043b\u043e\u043a\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0430\u0432\u0442\u043e\u0440\u044b \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043b\u0438 \u00abP7 Phase 2: V4 Local SQLite + Remote AKS Oracle Pipeline\u00bb.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u0430 \u044f\u0434\u0440\u0430 <code>pe_main.js<\/code> \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 <code>keychain_copier.js<\/code> \u0432 <code>configd<\/code> (\u0442\u043e\u0442 \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442 <code>keychain-2.db<\/code> \u0438 keybag\u2019\u0438 \u0432 <code>\/tmp<\/code>), \u0430 <code>loader.js<\/code> \u0438 <code>c2_agent.js<\/code> \u2014 \u0432 SpringBoard. \u0414\u0430\u043b\u044c\u0448\u0435:<\/p>\n<ol>\n<li>\n<p>\u00ab\u0431\u0443\u0434\u0438\u0442\u00bb <code>securityd<\/code> \u0442\u0440\u0435\u043c\u044f \u0432\u044b\u0437\u043e\u0432\u0430\u043c\u0438 <code>SecItemCopyMatching<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u0434\u043d\u0438\u043c\u0430\u0435\u0442 \u043a\u0430\u043d\u0430\u043b \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0432 <code>securityd<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u0437 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0430 <code>securityd<\/code> \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 IOKit-\u0441\u0435\u0440\u0432\u0438\u0441 <code>AppleKeyStore<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 <code>aks_unwrap<\/code> \u043a\u0430\u043a \u043e\u0440\u0430\u043a\u0443\u043b, \u0447\u0442\u043e\u0431\u044b \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u043a\u043b\u044e\u0447\u0438 \u043a\u043b\u0430\u0441\u0441\u043e\u0432 \u0434\u043b\u044f \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432 \u0438\u0437 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u043a\u043e\u043f\u0438\u0438 \u0431\u0430\u0437\u044b keychain;<\/p>\n<\/li>\n<li>\n<p>\u043f\u0438\u0448\u0435\u0442 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b \u0432 <code>\/private\/var\/tmp\/keychain_c2_dump.json<\/code>, \u0437\u0430\u0442\u0435\u043c \u0447\u0435\u0442\u044b\u0440\u0451\u0445\u0431\u0430\u0439\u0442\u043d\u044b\u0439 \u043c\u0430\u0440\u043a\u0435\u0440 <code>.done<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0430\u0433\u0435\u043d\u0442 \u043e\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u0442 \u0434\u043e 180 \u0441\u0435\u043a\u0443\u043d\u0434, \u043f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043f\u0430\u043a\u0435\u0442 \u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432.<\/p>\n<\/li>\n<\/ol>\n<p>GHOSTBLADE \u043b\u0438\u0448\u044c \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043b \u0444\u0430\u0439\u043b\u044b \u0441\u0432\u044f\u0437\u043a\u0438 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. P7 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u043e\u0439, \u0442\u043e\u0447\u0435\u0447\u043d\u043e\u0439 \u0438 \u0441\u0440\u0430\u0437\u0443 \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u043e\u0439 \u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044e. \u042d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c \u00ab\u0440\u0430\u0437\u0431\u043e\u0440 keychain \u0432 JSON \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435\u00bb \u0438\u0437 \u043f\u043e\u0441\u0442\u0430 iVerify.<\/p>\n<p>\u0423 \u044d\u0442\u043e\u0439 \u0444\u0430\u0437\u044b \u0441\u0432\u043e\u0439 \u0436\u0443\u0440\u043d\u0430\u043b \u2014 <code>\/private\/var\/tmp\/p7_debug.log<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0438\u0448\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0431\u0443\u0444\u0435\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u043e\u0431\u0451\u0440\u0442\u043a\u0443 \u043d\u0430\u0434 <code>fopen<\/code>\/<code>fwrite<\/code>; \u0432\u0435\u0442\u043a\u0430 \u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432 \u0432 \u0430\u0433\u0435\u043d\u0442\u0435 \u043f\u0438\u0448\u0435\u0442 <code>\/private\/var\/tmp\/c2_wallet_debug.log<\/code>. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 iVerify, \u0447\u0442\u043e \u0432 P7 \u0443\u0431\u0440\u0430\u043d\u043e \u043e\u0442\u043b\u0430\u0434\u043e\u0447\u043d\u043e\u0435 \u043b\u043e\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435, \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043a HTTP- \u0438 syslog-\u043b\u043e\u0433\u0430\u043c. \u0424\u0430\u0439\u043b\u043e\u0432\u043e\u0435 \u043b\u043e\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043e \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u043e \u2014 \u0438 \u044d\u0442\u043e \u043d\u0430\u0434\u0451\u0436\u043d\u044b\u0439 \u0444\u043e\u0440\u0435\u043d\u0437\u0438\u043a-\u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442.<\/p>\n<h3>\u041d\u0430\u0445\u043e\u0434\u043a\u0430 3: \u043a\u043b\u0430\u0441\u0442\u0435\u0440 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u00abqqtime\u00bb<\/h3>\n<h4>\u0416\u0438\u0432\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0438\u0437 \u0430\u0440\u0445\u0438\u0432\u0430 urlscan<\/h4>\n<p>\u0421\u0430\u0439\u0442 <code>cryptonewstrack[.]com<\/code>, \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u0439 \u043a\u0430\u043a \u043a\u0440\u0438\u043f\u0442\u043e\u043d\u043e\u0432\u043e\u0441\u0442\u043d\u043e\u0439 \u0440\u0435\u0441\u0443\u0440\u0441, \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u043d\u0430 urlscan.io 17 \u0438\u044e\u043b\u044f, 5 \u0438 15 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f 2026 \u0433\u043e\u0434\u0430. \u0421\u0435\u043d\u0442\u044f\u0431\u0440\u044c\u0441\u043a\u0438\u0435 \u0441\u043a\u0430\u043d\u044b \u0437\u0430\u0445\u0432\u0430\u0442\u0438\u043b\u0438 \u0432\u0441\u044e \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 P7, \u043a\u0440\u043e\u043c\u0435 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0442\u0430\u0434\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043e\u0442\u0434\u0430\u0451\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e user agent \u0441 iOS 18. \u041c\u044b \u0434\u043e\u0441\u0442\u0430\u043b\u0438 \u0442\u0435\u043b\u0430 \u043e\u0442\u0432\u0435\u0442\u043e\u0432 \u0438\u0437 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0430 urlscan; SHA-1 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e <code>group.html<\/code> \u0441\u043e\u0432\u043f\u0430\u043b \u0441 \u0445\u0435\u0448\u0435\u043c \u0442\u0435\u043b\u0430, \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u043c \u043a\u0440\u0430\u0443\u043b\u0435\u0440\u043e\u043c Validin 19 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f.<\/p>\n<p>\u0426\u0435\u043f\u043e\u0447\u043a\u0430:<\/p>\n<ol>\n<li>\n<p>\u0421\u0442\u0440\u0430\u043d\u0438\u0446\u0430 \u0433\u0440\u0443\u0437\u0438\u0442 <code>hxxps:\/\/oss.gotoiphone[.]com\/alicdn\/a5a62a47e2914d88ab7b34b2ebea8b25.js<\/code> (2 660 \u0411) \u0438\u0437 Alibaba Object Storage.<\/p>\n<\/li>\n<li>\n<p>\u0421\u043a\u0440\u0438\u043f\u0442 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0441\u043a\u0440\u044b\u0442\u044b\u0439 iframe 1\u00d71 \u043d\u0430 <code>hxxps:\/\/cdn.gotoiphone[.]com\/group.html<\/code> \u0438 \u043a\u0430\u0436\u0434\u044b\u0435 \u043f\u044f\u0442\u044c \u0441\u0435\u043a\u0443\u043d\u0434 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 IP \u043f\u043e\u0441\u0435\u0442\u0438\u0442\u0435\u043b\u044f, \u0432\u0435\u0440\u0441\u0438\u044e \u041e\u0421 \u0438 URL \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043d\u0430 <code>hxxps:\/\/goo[.]wang\/alicdn\/a5a62a47\u2026\/visit<\/code>. <code>goo[.]wang<\/code> \u0440\u0435\u0437\u043e\u043b\u0432\u0438\u0442\u0441\u044f \u0432 \u0442\u043e\u0442 \u0436\u0435 \u0430\u0434\u0440\u0435\u0441 Alibaba Cloud, \u0447\u0442\u043e \u0438 <code>js.gotoiphone[.]com<\/code> \u2014 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 P7 \u0438\u0437 \u043e\u0442\u0447\u0451\u0442\u0430 iVerify. \u0422\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044f \u043f\u043e\u0441\u0435\u0442\u0438\u0442\u0435\u043b\u0435\u0439 \u0438 C2 \u0436\u0438\u0432\u0443\u0442 \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0445\u043e\u0441\u0442\u0435.<\/p>\n<\/li>\n<li>\n<p><code>group.html<\/code> (\u0441 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u043c\u0438 \u043d\u0430 \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u043c) \u0433\u0440\u0443\u0437\u0438\u0442 <code>loader.js<\/code> \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u0441\u0435\u0442\u0438\u0442\u0435\u043b\u0435\u0439, \u0430 \u0435\u0441\u043b\u0438 \u0432 user agent \u0435\u0441\u0442\u044c \u00ab18\u00bb \u2014 \u0435\u0449\u0451 \u0438 <code>rce_loader.js<\/code>, \u0442\u043e\u0447\u043a\u0443 \u0432\u0445\u043e\u0434\u0430 DarkSword. \u0421\u0442\u0440\u0430\u043d\u0438\u0446\u0430 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0435 120 \u0441\u0435\u043a\u0443\u043d\u0434.<\/p>\n<\/li>\n<li>\n<p><code>loader.js<\/code> (47 605 \u0411) \u2014 <strong>\u043d\u0435 DarkSword<\/strong>. \u042d\u0442\u043e \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a Coruna: \u0442\u0430\u0431\u043b\u0438\u0446\u0430 \u043c\u043e\u0434\u0443\u043b\u0435\u0439 \u0441 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 SHA-1, \u043c\u043e\u0434\u0443\u043b\u0438 \u0434\u043e\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u043f\u043e \u0438\u043c\u0435\u043d\u0438 \u0432\u0438\u0434\u0430 SHA-256(\u0441\u043e\u043b\u044c + \u0438\u043c\u044f), \u0441\u043e\u043b\u044c <code>cecd08aa6ff548c2<\/code>, \u043f\u043e\u0440\u043e\u0433\u0438 \u0432\u0435\u0440\u0441\u0438\u0438 iOS 13.0 \u0438 16.0, \u043a\u043e\u0434\u044b \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430 1000\/1001\/1003.<\/p>\n<\/li>\n<\/ol>\n<p>\u0417\u043d\u0430\u0447\u0438\u0442, <code>cdn.gotoiphone[.]com<\/code> \u2014 \u044d\u0442\u043e DarkCoruna: Coruna \u0434\u043b\u044f iOS 13\u201317.2.1 \u0438 DarkSword \u0434\u043b\u044f 18.x \u0441 \u043e\u0434\u043d\u043e\u0433\u043e iframe. \u0412 \u043f\u043e\u0441\u0442\u0435 iVerify \u043f\u0440\u043e P7 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0430 \u0441 Coruna \u043d\u0435 \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u0442\u0441\u044f.<\/p>\n<h4>\u0422\u043e\u0442 \u0436\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0441 \u0438\u044e\u043b\u044f<\/h4>\n<p>\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a Coruna \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0435\u043d, \u0447\u0442\u043e\u0431\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b. \u041f\u043e\u0438\u0441\u043a \u0432 urlscan \u043f\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0443 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b, \u0438\u043c\u0435\u043d\u0438 \u0444\u0430\u0439\u043b\u0430 \u0438 \u0441\u043e\u043b\u0438 \u0434\u0430\u043b \u0442\u0443 \u0436\u0435 \u0441\u0431\u043e\u0440\u043a\u0443 \u2014 \u0442\u0435 \u0436\u0435 \u0438\u043c\u0435\u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u0442\u0430\u0431\u043b\u0438\u0446\u0430 \u043c\u043e\u0434\u0443\u043b\u0435\u0439, \u0441\u043e\u043b\u044c \u0438 \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u044b \u2014 \u0435\u0449\u0451 \u043d\u0430 \u043f\u044f\u0442\u0438 \u0445\u043e\u0441\u0442\u0430\u0445:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0412\u043f\u0435\u0440\u0432\u044b\u0435 \u0437\u0430\u043c\u0435\u0447\u0435\u043d<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0425\u043e\u0441\u0442 \/ \u043f\u0443\u0442\u044c<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0427\u0442\u043e \u0442\u0430\u043c<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">2026-07-16<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>iphone.apiforx[.]work\/qqtime\/qqtime.html<\/code>; <code>1x8gmjbdq3tepgr[.]icu\/<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a <code>34ef644f\u2026.js<\/code>, \u043e\u0442\u0447\u0451\u0442 \u043d\u0430 <code>1x8gmjbdq3tepgr[.]icu\/api<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">2026-07-17<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>cryptonewstrack[.]com\/qqtime\/34ef644f\u2026.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u043b\u0435\u0436\u0438\u0442 \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0441\u0430\u0439\u0442\u0435-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0435, \u043e\u0442\u0447\u0451\u0442 \u043d\u0430 <code>ipsadminuser[.]shop\/api<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">2026-07-31<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1.aivestorix[.]com\/qqtime\/qqtime.html<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0422\u043e\u0442 \u0436\u0435 \u0444\u0430\u0439\u043b, \u0447\u0442\u043e \u043d\u0430 cryptonewstrack<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">2026-08-04<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>billowing-truth-804c.pages[.]dev\/1df7afe3\u2026\/foxtimes<\/code> + <code>routers.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0435\u0440\u0432\u043e\u0435 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435 \u0432\u0435\u0442\u043a\u0438 DarkSword<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">2026-09-05 \u2192 2026-10-03<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>cdn.gotoiphone[.]com<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>group.html<\/code> \u2192 Coruna + <code>rce_loader.js<\/code>; \u0441 28 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f \u0438\u043d\u0434\u0435\u043a\u0441 \u0441\u043d\u043e\u0432\u0430 \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u00abqqtime\u00bb \u0438 \u0441\u0441\u044b\u043b\u0430\u0435\u0442\u0441\u044f \u043d\u0430 <code>routers.js<\/code><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0418\u043c\u044f \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0443 \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0430 \u0432\u0438\u0434\u043d\u043e \u043d\u0435\u0432\u043e\u043e\u0440\u0443\u0436\u0451\u043d\u043d\u044b\u043c \u0433\u043b\u0430\u0437\u043e\u043c: \u00abqqtime\u00bb \u0432 \u043f\u0443\u0442\u044f\u0445 \u0438 <code>&lt;title&gt;<\/code>; \u043e\u0434\u043d\u043e \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u00abfoxtimes\u00bb.<\/p>\n<p><code>routers.js<\/code> (883 \u0411) \u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f \u0431\u0435\u0437 \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438. \u041e\u043d \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0432\u0435\u0440\u0441\u0438\u044e iOS \u0438\u0437 user agent \u0438 \u043f\u0440\u0438 \u0432\u0435\u0440\u0441\u0438\u0438 18.4 \u0438 \u0432\u044b\u0448\u0435 \u0433\u0440\u0443\u0437\u0438\u0442 <code>ds_rce_loader.js<\/code> (DarkSword), \u0438\u043d\u0430\u0447\u0435 \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a Coruna \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <code>?channelcode=1df7afe33d3bf512f124136cf405f57a<\/code>. \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <code>channelcode<\/code> \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0435\u0442 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u044f: \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0438\u0442\u0435\u043b\u044c \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u0432\u043e\u0439 \u043f\u0443\u0442\u044c. \u042d\u0442\u043e \u0442\u043e\u0442 \u0436\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c, \u0447\u0442\u043e <code>C2_CHANNEL_CODE<\/code> \u0432 \u0430\u0433\u0435\u043d\u0442\u0435 \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0441\u0431\u043e\u0440\u043a\u0438 P7.<\/p>\n<p>\u0414\u043e\u043c\u0435\u043d <code>gotoiphone[.]com<\/code> \u0441\u043f\u0430\u043b \u0441 2020 \u0433\u043e\u0434\u0430 \u0438 \u0431\u044b\u043b \u043f\u0435\u0440\u0435\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d 28 \u0438\u044e\u043b\u044f 2026 \u0433\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 Dominet (HK) \u0441 DNS Alibaba; \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u043f\u0435\u0440\u0435\u0435\u0445\u0430\u043b \u043d\u0430 Alibaba OSS 5 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f. \u041d\u0438 \u043e\u0434\u0438\u043d \u0438\u0437 \u044d\u0442\u0438\u0445 \u0445\u043e\u0441\u0442\u043e\u0432 \u2014 \u043a\u0430\u043a \u0438 <code>cryptonewstrack[.]com<\/code>, <code>ipsadminuser[.]shop<\/code> \u0438 <code>goo[.]wang<\/code> \u2014 \u043d\u0435 \u0432\u0445\u043e\u0434\u0438\u0442 \u0432 \u0441\u043f\u0438\u0441\u043a\u0438 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 iVerify \u0438 GTIG, \u0438 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0435\u0442 \u043d\u0430 VirusTotal.<\/p>\n<p>\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c, \u0431\u044b\u043b \u043b\u0438 <code>cryptonewstrack[.]com<\/code> \u0432\u0437\u043b\u043e\u043c\u0430\u043d \u0438\u043b\u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u043e\u043c, \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c. \u0412 \u0440\u0430\u043c\u043a\u0430\u0445 \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0435\u0433\u043e \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u043a\u0430\u043a \u0441\u0430\u0439\u0442-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0443, \u0430 \u043d\u0435 \u043a\u0430\u043a \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0451\u043d\u043d\u044b\u0439 C2, \u0438 \u043d\u0435 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u043a \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f.<\/p>\n<h4>\u041e\u0431\u0449\u0430\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c?<\/h4>\n<p>\u041a\u043e\u0440\u043d\u0435\u0432\u0430\u044f \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430 <code>mzpo30[.]cam<\/code> \u2014 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0445\u043e\u0441\u0442\u0430 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 P7 \u043f\u043e iVerify \u2014 \u043e\u0442\u0434\u0430\u0451\u0442 49-\u0431\u0430\u0439\u0442\u043d\u0443\u044e \u0437\u0430\u0433\u043b\u0443\u0448\u043a\u0443 <code>&lt;p&gt;.&lt;\/p&gt;<\/code> \u0441 <code>Server: openresty<\/code>, <code>Cache-Control: no-cache, no-store<\/code> \u0438 <code>Access-Control-Allow-Origin: *<\/code> \u0437\u0430 CloudFront. \u041a\u043e\u0440\u0435\u043d\u044c <code>nuih22[.]cc<\/code> \u2014 DarkSword-\u0445\u043e\u0441\u0442\u0430, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 iVerify \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 14 \u0440\u0430\u0437\u043d\u044b\u0445 \u043f\u0440\u0438\u043c\u0430\u043d\u043e\u043a, \u2014 \u043e\u0442\u0434\u0430\u0451\u0442 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u043e\u0435 \u0442\u0435\u043b\u043e \u0438 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0437\u0430 Cloudflare, \u0438 \u043e\u0431\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043f\u0443\u0442\u044c <code>\/assets\/js\/group.html<\/code>. 49-\u0431\u0430\u0439\u0442\u043d\u0430\u044f \u0437\u0430\u0433\u043b\u0443\u0448\u043a\u0430 \u2014 \u0441\u043b\u0430\u0431\u044b\u0439 \u043e\u0442\u043f\u0435\u0447\u0430\u0442\u043e\u043a, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043e\u0431\u0449\u0438\u0439 \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u0438\u043b\u0438 \u043e\u0431\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u0448\u0430\u0431\u043b\u043e\u043d \u043a\u0438\u0442\u0430 \u043c\u044b \u043e\u0446\u0435\u043d\u0438\u0432\u0430\u0435\u043c \u043b\u0438\u0448\u044c \u043a\u0430\u043a \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u044b\u0439, \u0441\u043e \u0441\u0440\u0435\u0434\u043d\u0435\u0439 \u0443\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e.<\/p>\n<h3>\u041f\u043e\u0447\u0435\u043c\u0443 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0430 \u043f\u043e \u0445\u0435\u0448\u0430\u043c \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442<\/h3>\n<p>\u0418\u0437 185 \u0445\u0435\u0448\u0435\u0439 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 iVerify \u043a DarkSword \u043d\u0430 VirusTotal \u0435\u0441\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e 38 (21 %); \u043d\u0430 MalwareBazaar \u2014 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u043e \u0442\u0435\u0433\u0443, \u043d\u0430 Hybrid Analysis \u2014 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e. \u0428\u0435\u0441\u0442\u044c \u0438\u0437 38 \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u044e\u0442 \u043d\u043e\u043b\u044c \u0434\u0435\u0442\u0435\u043a\u0442\u043e\u0432. \u041a\u0438\u0442 \u043f\u0435\u0440\u0435\u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u043a\u0430\u0436\u0434\u044b\u0439 \u0445\u043e\u0441\u0442, \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u0445\u0435\u0448-\u043b\u0438\u0441\u0442\u044b \u043e\u0442\u0441\u0442\u0430\u044e\u0442 \u043d\u0430 \u043c\u0435\u0441\u044f\u0446\u044b. \u041d\u0435\u0438\u0437\u043c\u0435\u043d\u043d\u044b\u043c \u0441 \u043c\u0430\u0440\u0442\u0430 \u043e\u0441\u0442\u0430\u043b\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e <code>rce_module.js<\/code>.<\/p>\n<p>\u041a\u0430\u0440\u0442\u0438\u043d\u0430 \u043f\u043e \u044d\u043a\u043e\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u044d\u0442\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442. \u0412 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 iVerify 229 \u043f\u0430\u0440 \u00ab\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 \u2014 \u0431\u044d\u043a\u0435\u043d\u0434\u00bb; \u0438\u043c\u0435\u043d\u0430 \u2014 pinyin-\u0441\u0430\u043b\u0430\u0442 \u0432\u043e\u043a\u0440\u0443\u0433 \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u0438\u0445 \u0431\u0440\u0435\u043d\u0434\u043e\u0432, \u043a\u0430\u0437\u0438\u043d\u043e-\u0434\u043e\u043c\u0435\u043d\u044b <code>cgwin*<\/code>, \u043a\u0440\u0438\u043f\u0442\u0430 \u0438 \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0435 \u00abiOS-\u0441\u0435\u0440\u0432\u0438\u0441\u044b\u00bb. 94 \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 (41 %) \u0433\u0440\u0443\u0437\u044f\u0442 \u043a\u0438\u0442 \u0441 \u043e\u0434\u043d\u043e\u0433\u043e \u0445\u043e\u0441\u0442\u0430, <code>cf.r5dz2dz88wuideu[.]xyz<\/code>, \u0435\u0449\u0451 14 \u2014 \u0441 <code>nuih22[.]cc<\/code>. \u041e\u043a\u043e\u043b\u043e \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u044b \u00ab17 000 \u0434\u043e\u043c\u0435\u043d\u043e\u0432\u00bb \u2014 \u043e\u0434\u043d\u043e\u0440\u0430\u0437\u043e\u0432\u044b\u0435 \u0441\u0430\u0439\u0442\u044b-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0434\u043b\u044f \u043e\u0434\u043d\u043e\u0433\u043e-\u0434\u0432\u0443\u0445 \u043e\u0431\u0449\u0438\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438. \u042d\u0442\u043e \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430, \u0430 \u043d\u0435 \u0442\u043e\u043b\u043f\u0430.<\/p>\n<p>\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0441\u0442\u0440\u043e\u0438\u0442\u044c \u043f\u043e \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u0430\u043c, \u0441\u0435\u0442\u0435\u0432\u043e\u043c\u0443 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044e \u0438 \u0441\u0442\u0440\u043e\u043a\u0430\u043c \u043a\u043e\u0434\u0430 \u2014 \u043d\u0438\u0436\u0435.<\/p>\n<h3>\u0410\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u044f<\/h3>\n<p>\u0421\u043e \u0441\u0440\u0435\u0434\u043d\u0435\u0439 \u0443\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e \u043c\u044b \u043e\u0446\u0435\u043d\u0438\u0432\u0430\u0435\u043c, \u0447\u0442\u043e P7 \u0438 \u043a\u043b\u0430\u0441\u0442\u0435\u0440 qqtime \u2014 \u0440\u0430\u0431\u043e\u0442\u0430 \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u044f\u0437\u044b\u0447\u043d\u043e\u0439 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u043e \u043c\u043e\u0442\u0438\u0432\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u044b, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u0435\u0440\u0432\u0438\u0441 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u043e\u0432 \u0434\u043b\u044f \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0438\u0442\u0435\u043b\u0435\u0439. \u041e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u044f: \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u043a\u0430\u0437\u0438\u043d\u043e \u0438 \u043a\u0440\u0438\u043f\u0442\u044b \u0434\u043b\u044f \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u044f\u0437\u044b\u0447\u043d\u043e\u0439 \u0430\u0443\u0434\u0438\u0442\u043e\u0440\u0438\u0438; \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u0430 \u0441\u043e\u0441\u0440\u0435\u0434\u043e\u0442\u043e\u0447\u0435\u043d\u0430 \u043d\u0430 \u043a\u0440\u0430\u0436\u0435 seed-\u0444\u0440\u0430\u0437 \u0438 \u0441\u0432\u044f\u0437\u043a\u0438 \u043a\u043b\u044e\u0447\u0435\u0439; \u043a\u043e\u0434\u044b \u043a\u0430\u043d\u0430\u043b\u043e\u0432 \u0438 \u0432 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0435, \u0438 \u0432 \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u0435; \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044f \u043f\u043e\u0441\u0435\u0442\u0438\u0442\u0435\u043b\u0435\u0439, \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u0430\u044f \u0434\u043b\u044f \u0431\u0440\u043e\u043a\u0435\u0440\u043e\u0432 \u0442\u0440\u0430\u0444\u0438\u043a\u0430; \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u0438\u0435 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 \u0432 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430\u0445 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438; \u043e\u0434\u043d\u043e\u0440\u0430\u0437\u043e\u0432\u044b\u0435 \u0434\u043e\u043c\u0435\u043d\u044b, \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 Gname \u0438 GoDaddy \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u044b Cloudflare, CloudFront \u0438 Alibaba; \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u043e\u0432 \u043f\u0440\u0438\u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u044d\u0442\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 \u043a \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u043d\u0435\u0442.<\/p>\n<p>\u041f\u0440\u0438\u0437\u043d\u0430\u043a\u043e\u0432 \u0443\u0447\u0430\u0441\u0442\u0438\u044f \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0430 \u0432 P7 \u043c\u044b \u043d\u0435 \u0432\u0438\u0434\u0438\u043c. \u0422\u0435\u0437\u0438\u0441 \u00ab\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043f\u043e\u0434 iOS \u0440\u0435\u0434\u043e\u043a, \u0437\u043d\u0430\u0447\u0438\u0442, \u0437\u0430 \u043d\u0438\u043c \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u043e\u00bb \u043f\u043e\u0441\u043b\u0435 \u0443\u0442\u0435\u0447\u0435\u043a Coruna \u0438 DarkSword \u0431\u043e\u043b\u044c\u0448\u0435 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442: \u043f\u043e\u043b\u043d\u044b\u0435 iOS-\u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0441\u0442\u0430\u043b\u0438 \u0442\u043e\u0432\u0430\u0440\u043e\u043c, \u0438 iVerify \u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u0442 \u0441\u043b\u0435\u0434\u044b \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u043d\u0430 5 % \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u043e\u0441\u0442\u0430\u0432\u0448\u0438\u0445\u0441\u044f \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u044f\u0445. \u0418\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0437\u0434\u0435\u0441\u044c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0430\u043c\u0430 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442-\u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u2014 \u0434\u043e \u0443\u0442\u0435\u0447\u043a\u0438 \u0435\u044e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0442\u0440\u0438 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u0448\u043f\u0438\u043e\u043d\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u043e\u0444\u0438\u043b\u044f. \u0415\u0451 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d. P7 \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d \u043f\u043e\u0432\u0435\u0440\u0445 \u0443\u0442\u0435\u0447\u043a\u0438, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u0432\u044f\u0437\u044c \u0435\u0433\u043e \u0430\u0432\u0442\u043e\u0440\u043e\u0432 \u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c\u0438 DarkSword \u044d\u0442\u0438\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u043d\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f \u0438 \u043d\u0435 \u043e\u043f\u0440\u043e\u0432\u0435\u0440\u0433\u0430\u0435\u0442\u0441\u044f.<\/p>\n<h4>\u041f\u043e\u043f\u0440\u0430\u0432\u043a\u0430 \u043a \u0440\u0430\u043d\u043d\u0438\u043c \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f\u043c \u043e \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 TA446<\/h4>\n<p>\u0412 \u0440\u044f\u0434\u0435 \u043c\u0430\u0440\u0442\u043e\u0432\u0441\u043a\u0438\u0445 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0439 \u043e \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 TA446 <code>static.cdncounter[.]net<\/code> \u0438 <code>sqwas.shapelie[.]com<\/code> \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438\u0441\u044c \u043a\u0430\u043a \u00ab\u0438\u0441\u0445\u043e\u0434\u043d\u0430\u044f \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 DarkSword (UNC6748)\u00bb. \u041f\u043e \u0434\u0430\u043d\u043d\u044b\u043c GTIG \u044d\u0442\u043e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 <strong>UNC6353<\/strong>: <code>sqwas.shapelie[.]com<\/code> \u2014 \u0441\u0435\u0440\u0432\u0435\u0440 \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 GHOSTBLADE. UNC6748 \u2014 \u0434\u0440\u0443\u0433\u043e\u0439 \u043a\u043b\u0430\u0441\u0442\u0435\u0440 (\u0421\u0430\u0443\u0434\u043e\u0432\u0441\u043a\u0430\u044f \u0410\u0440\u0430\u0432\u0438\u044f, GHOSTKNIFE). TA446 \u043f\u0435\u0440\u0435\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0443\u0442\u0451\u043a\u0448\u0438\u0439 \u043a\u0438\u0442 UNC6353 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u043a\u0430\u043a \u0435\u0441\u0442\u044c; \u044d\u0442\u043e \u0434\u0432\u0435 \u0440\u0430\u0437\u043d\u044b\u0435 \u0433\u0440\u0443\u043f\u043f\u044b, \u0441\u0432\u044f\u0437\u044c \u043c\u0435\u0436\u0434\u0443 \u043d\u0438\u043c\u0438 \u2014 \u0447\u0435\u0440\u0435\u0437 \u0443\u0442\u0435\u0447\u043a\u0443, \u0430 \u043d\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, GHOSTBLADE \u2014 \u043e\u0431\u043e\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 GTIG, \u0430 \u043d\u0435 Proofpoint, \u043a\u0430\u043a \u0438\u043d\u043e\u0433\u0434\u0430 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u043e\u0441\u044c.<\/p>\n<h3>\u0414\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435<\/h3>\n<h4>\u0410\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435<\/h4>\n<p>\u041f\u0443\u0442\u0438 \u0436\u0438\u0432\u0443\u0442 \u0434\u043e \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u043b\u0438 \u043e\u0447\u0438\u0441\u0442\u043a\u0438 \u0438 \u0432\u0438\u0434\u043d\u044b \u0432 sysdiagnose \u0438\u043b\u0438 \u043e\u0431\u0440\u0430\u0437\u0435 \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041f\u0443\u0442\u044c<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u041a\u0442\u043e \u043f\u0438\u0448\u0435\u0442<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0421\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>\/private\/var\/tmp\/keychain_c2_dump.json<\/code> (<code>.tmp<\/code>, <code>.done<\/code>)<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>pe_main.js<\/code>, Phase 2<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b keychain \u0432 JSON; \u043c\u0430\u0440\u043a\u0435\u0440 \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>\/private\/var\/tmp\/p7_debug.log<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>pe_main.js<\/code>, Phase 2<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0416\u0443\u0440\u043d\u0430\u043b \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440\u0430 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>\/private\/var\/tmp\/c2_wallet_debug.log<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>c2_agent.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0422\u0440\u0430\u0441\u0441\u0430 \u0443\u043f\u0430\u043a\u043e\u0432\u043a\u0438 \u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432 (\u00ab[WALLET-HQ]\u00bb)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>\/private\/var\/tmp\/imtoken_keychain.json<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>c2_agent.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f keystore imToken<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>\/private\/var\/tmp\/_hq_notestore<\/code> (<code>-wal<\/code>, <code>-shm<\/code>); <code>\/private\/var\/tmp\/notes.sqlite*<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>c2_agent.js<\/code>; <code>keychain_copier.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041a\u043e\u043f\u0438\u0438 \u0431\u0430\u0437\u044b Apple Notes<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>\/private\/var\/tmp\/keychain-2.db*<\/code>, <code>persona.kb<\/code>, <code>usersession.kb<\/code>, <code>System.keybag<\/code>, <code>Backup.keybag<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>keychain_copier.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0411\u0430\u0437\u0430 keychain \u0438 keybag\u2019\u0438 (\u043d\u0430\u0441\u043b\u0435\u0434\u0438\u0435 GHOSTBLADE)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>\/var\/mobile\/Library\/Caches\/ios_disk_scan.txt<\/code>; <code>\/var\/mobile\/ios_disk_scan.txt<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>c2_agent.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u0432\u043e\u0434 <code>disk_scan<\/code> (\u0432\u044b\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0447\u0430\u0441\u0442\u044f\u043c\u0438, \u0437\u0430\u0442\u0435\u043c \u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f)<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0412 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 \u043f\u043e\u0441\u043b\u0435 \u0430\u0442\u0430\u043a\u0438 \u043e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u043a\u043b\u044e\u0447\u0438 localStorage, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u0438\u0434\u043d\u043e, \u043a\u0430\u043a\u043e\u0435 \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0441\u0435\u0442\u0438\u043b\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e: <code>lab_device_uuid<\/code>, <code>__ds_inflight_worker<\/code>, <code>__ds_skip_workers<\/code> (\u0441\u0431\u043e\u0440\u043a\u0430 gotoiphone) \u0438 <code>_x_pe_done<\/code>, <code>_x_try<\/code>, <code>_x_ok<\/code> (\u0441\u0431\u043e\u0440\u043a\u0430 mzpo30).<\/p>\n<h4>\u0421\u0435\u0442\u044c<\/h4>\n<ul>\n<li>\n<p>HTTP\/1.0 POST \u0441 iPhone \u043d\u0430 <code>\/beacon<\/code> \u043a\u0430\u0436\u0434\u044b\u0435 15 \u0441\u0435\u043a\u0443\u043d\u0434, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043d\u0430 <code>\/a<\/code>, <code>\/event<\/code>, <code>\/u<\/code>, <code>\/nb<\/code>, <code>\/p<\/code>, <code>\/war<\/code> \u0442\u043e\u0433\u043e \u0436\u0435 \u0445\u043e\u0441\u0442\u0430; multipart boundary <code>------HqBound<\/code>; JSON-\u043f\u043e\u043b\u044f <code>lhu<\/code>, <code>source<\/code> (32-\u0441\u0438\u043c\u0432\u043e\u043b\u044c\u043d\u044b\u0439 hex \u2014 \u043a\u043e\u0434 \u043a\u0430\u043d\u0430\u043b\u0430), <code>channel_code<\/code>.<\/p>\n<\/li>\n<li>\n<p>TLS-\u0441\u0435\u0441\u0441\u0438\u0438 \u0438\u0437 \u043a\u043e\u0434\u0430 \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 SpringBoard \u0431\u0435\u0437 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a \u0441\u0432\u0435\u0436\u0438\u043c \u0434\u043e\u043c\u0435\u043d\u0430\u043c <code>.cc<\/code> \/ <code>.cam<\/code> \/ <code>.lol<\/code> \u0437\u0430 Cloudflare.<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u0432\u0435\u0431\u0430: \u0441\u043a\u0440\u044b\u0442\u044b\u0435 iframe \u043d\u0430 <code>*\/group.html<\/code>, \u0441\u043a\u0440\u0438\u043f\u0442\u044b <code>rce_loader.js<\/code>, <code>ds_rce_loader.js<\/code>, <code>routers.js<\/code>, \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043d\u0430 <code>*\/api<\/code> \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <code>channelcode<\/code>, \u043f\u0435\u0440\u0438\u043e\u0434\u0438\u0447\u0435\u0441\u043a\u0438\u0435 POST \u0441 <code>visitorIp<\/code> \/ <code>deviceVersion<\/code> \/ <code>sourceUrl<\/code>.<\/p>\n<\/li>\n<\/ul>\n<p>\u0414\u043e\u043c\u0435\u043d\u044b \u0440\u043e\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0435\u0436\u0435\u043d\u0435\u0434\u0435\u043b\u044c\u043d\u043e, \u0430 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b \u0437\u0430 \u0442\u0440\u0438 \u0441\u0431\u043e\u0440\u043a\u0438 \u043d\u0435 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0441\u044f \u2014 \u043e\u043f\u043e\u0432\u0435\u0449\u0435\u043d\u0438\u044f \u0441\u0442\u043e\u0438\u0442 \u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0442\u044c \u043f\u043e \u0448\u0430\u0431\u043b\u043e\u043d\u0443 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u0430 \u043d\u0435 \u043f\u043e \u0441\u043f\u0438\u0441\u043a\u0430\u043c \u0434\u043e\u043c\u0435\u043d\u043e\u0432.<\/p>\n<h4>YARA<\/h4>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u043e GTIG <code>G_Hunting_DarkSwordExploitChain_ImplantLib_FilePaths_1<\/code> \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u0431\u0430\u043d\u0434\u043b <code>pe_main.js<\/code> P7 (webpack-\u043f\u0443\u0442\u0438 \u0432 \u043d\u0451\u043c \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0441\u044c), \u043d\u043e \u043d\u0435 \u043d\u0430 \u0438\u0437\u0432\u043b\u0435\u0447\u0451\u043d\u043d\u044b\u0439 \u0430\u0433\u0435\u043d\u0442. <code>G_Datamine_GHOSTBLADE_1<\/code> \u043d\u0430 P7 \u043d\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0432\u043e\u043e\u0431\u0449\u0435. \u041c\u044b \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u043b\u0438 \u0434\u0432\u0430 \u0447\u0435\u0440\u043d\u043e\u0432\u044b\u0445 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u0433\u0440\u043e\u0437 (\u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u044b \u043d\u0430 \u043e\u0434\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0435 P7, \u043d\u043e\u043b\u044c \u043b\u043e\u0436\u043d\u044b\u0445 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0439 \u043d\u0430 GHOSTBLADE, \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044c\u0441\u043a\u043e\u043c \u043a\u0438\u0442\u0435 \u0438 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430\u0445 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438; \u043f\u0435\u0440\u0435\u0434 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u044e\u0449\u0438\u043c \u0440\u0435\u0436\u0438\u043c\u043e\u043c \u2014 \u043f\u0435\u0440\u0435\u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u043d\u0430 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445):<\/p>\n<ul>\n<li>\n<p><code><strong>P7_DarkSword_C2Agent_Strings<\/strong><\/code> \u2014 \u0441\u0442\u0440\u043e\u043a\u0438 <code>p7_<\/code> (\u0431\u043e\u043b\u0435\u0435 20 \u0432\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0439), <code>------HqBound<\/code>, <code>\/beacon<\/code>, <code>\/war<\/code>, <code>\/nb<\/code>, <code>keychain_c2_dump<\/code>, <code>p7_debug.log<\/code>, <code>c2_wallet_debug.log<\/code>, <code>_hq_notestore<\/code>, <code>ios_disk_scan.txt<\/code>, <code>wallet_scan<\/code>, <code>memo_scan<\/code>, <code>execute_command<\/code>, <code>disk_scan<\/code>, <code>iPhone OS 18_5 like Mac OS X<\/code>.<\/p>\n<\/li>\n<li>\n<p><code><strong>P7_DarkSword_LocalStorage_Markers<\/strong><\/code> (\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438) \u2014 <code>lab_device_uuid<\/code>, <code>__ds_inflight_worker<\/code>, <code>__ds_skip_workers<\/code>, <code>_x_pe_done<\/code>, <code>cecd08aa6ff548c2<\/code>, <code>obChTK<\/code>, <code>ds_rce_loader.js<\/code>, <code>34ef644ff217a50beadde64dc8e23a7d<\/code>.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e\u043b\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442 \u043f\u0440\u0430\u0432\u0438\u043b \u043f\u0440\u0438\u0432\u0435\u0434\u0451\u043d \u0432 \u043c\u0430\u0448\u0438\u043d\u043e\u0447\u0438\u0442\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u043a \u044d\u0442\u043e\u043c\u0443 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0443.<\/p>\n<h3>\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 (\u0432\u044b\u0431\u043e\u0440\u043a\u0430)<\/h3>\n<p>\u041f\u043e\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u0435 \u00abiVerify\u00bb \u043f\u043e\u0432\u0442\u043e\u0440\u0435\u043d\u044b \u0438\u0437 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u043d\u043e\u0442\u044b.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0422\u0438\u043f<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0420\u043e\u043b\u044c<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>www.y21t8bcya6q9b7155a[.]cc<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">C2 P7, \u0441\u0431\u043e\u0440\u043a\u0430 3<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>iospc8[.]com<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 P7, \u0441\u0431\u043e\u0440\u043a\u0430 3 (\u043a\u0430\u0437\u0438\u043d\u043e)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>agdx53[.]cc<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">C2 P7 (iVerify)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>js.gotoiphone[.]com<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">C2 P7 (iVerify)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>cdn.gotoiphone[.]com<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0414\u043e\u0441\u0442\u0430\u0432\u043a\u0430 DarkCoruna (iVerify)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>mzpo30[.]cam<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0414\u043e\u0441\u0442\u0430\u0432\u043a\u0430 P7 (iVerify)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>oss.gotoiphone[.]com<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0425\u043e\u0441\u0442 \u0438\u043d\u0436\u0435\u043a\u0442\u043e\u0440\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>goo[.]wang<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0422\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044f \u043f\u043e\u0441\u0435\u0442\u0438\u0442\u0435\u043b\u0435\u0439<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>ipsadminuser[.]shop<\/code>, <code>1x8gmjbdq3tepgr[.]icu<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0438\u0451\u043c \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 Coruna<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>iphone.apiforx[.]work<\/code>, <code>1.aivestorix[.]com<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0425\u043e\u0441\u0442\u044b \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 Coruna (qqtime)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>billowing-truth-804c.pages[.]dev<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0420\u043e\u0443\u0442\u0435\u0440 DarkCoruna (\u00abfoxtimes\u00bb)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">URL<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>hxxps:\/\/www.y21t8bcya6q9b7155a[.]cc\/war<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u042d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f keychain \u0438 \u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">URL<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>hxxps:\/\/oss.gotoiphone[.]com\/alicdn\/a5a62a47e2914d88ab7b34b2ebea8b25.js<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u043d\u0436\u0435\u043a\u0442\u043e\u0440<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">URL<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>hxxps:\/\/goo[.]wang\/alicdn\/a5a62a47e2914d88ab7b34b2ebea8b25\/visit<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0422\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">IP<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>47[.]237[.]185[.]24<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">Alibaba Cloud: gotoiphone[.]com, js.gotoiphone[.]com, goo[.]wang (\u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SHA-256<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>ef9263b1a74e80d55331763335847017efba9018401b037c66729b265c255bb7<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>test.zip<\/code>, \u043a\u0438\u0442 \u0441\u0431\u043e\u0440\u043a\u0438 3<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SHA-256<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>57c3997642882815e02bcc50b60a63292dc3f5ed0337f2dd0c9c93b34a423a08<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>pe_main.js<\/code>, \u0441\u0431\u043e\u0440\u043a\u0430 3<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SHA-256<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>38975537d2c66815484a1adb01b681bffa96168cd6e9474e24815ad4a4796127<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>c2_agent.js<\/code>, \u0441\u0431\u043e\u0440\u043a\u0430 3<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SHA-256<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>d554f534fad7822cbde9ca7d9f6efe8a7e0f5786ccee60f8db6dad340a2a6f80<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>loader.js<\/code> = \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a GHOSTBLADE<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SHA-256<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>20c49dd361181210fade5de43e1c8c4c59485b4f565007b4ca3552b71c7683be<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a Coruna, cdn.gotoiphone<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SHA-256<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>2eb359647852ae87e4a4de7adc741abb2889896bf9bda476c647fb075ffb967e<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>routers.js<\/code>, pages[.]dev<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u0442\u0440\u043e\u043a\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>f94ed1edc290119993125d85c1106796<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041a\u043e\u0434 \u043a\u0430\u043d\u0430\u043b\u0430 P7, \u0441\u0431\u043e\u0440\u043a\u0430 3<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u0442\u0440\u043e\u043a\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1df7afe33d3bf512f124136cf405f57a<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">channelcode qqtime (pages[.]dev)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u0442\u0440\u043e\u043a\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>cecd08aa6ff548c2<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u043b\u044c \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 Coruna \u0432\u043e \u0432\u0441\u0435\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 qqtime<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0410\u0434\u0440\u0435\u0441 <code>47[.]79[.]48[.]200<\/code> \u2014 \u043e\u0431\u0449\u0438\u0439 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 Alibaba OSS, \u0447\u0435\u0440\u0435\u0437 \u043d\u0435\u0433\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u0434\u0435\u0441\u044f\u0442\u043a\u0438 \u043f\u043e\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432. \u0415\u0433\u043e \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043d\u0435\u043b\u044c\u0437\u044f; <code>cryptonewstrack[.]com<\/code> \u2014 \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 \u043d\u0435\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u0442\u0430\u0442\u0443\u0441\u0430, \u043d\u0435 C2.<\/p>\n<h3>\u0412\u044b\u0432\u043e\u0434\u044b \u0438 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438<\/h3>\n<ol>\n<li>\n<p><strong>\u041e\u0431\u043d\u043e\u0432\u043b\u044f\u0439\u0442\u0435\u0441\u044c.<\/strong> \u041a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0434\u043e iOS 18.7.3, \u0430 \u0432 \u0432\u0435\u0442\u043a\u0435 iOS 26 \u2014 \u0434\u043e 26.3 \u0438\u043b\u0438 \u043d\u043e\u0432\u0435\u0435: \u0438\u043c\u0435\u043d\u043d\u043e 26.3 \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0438\u0437 \u0448\u0435\u0441\u0442\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439. \u0423\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0430 iOS 13\u201317.2.1 \u0443\u044f\u0437\u0432\u0438\u043c\u044b \u0434\u043b\u044f Coruna-\u043f\u043e\u043b\u043e\u0432\u0438\u043d\u044b \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b DarkCoruna, \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0430 iOS 18.4\u201318.7.2 \u2014 \u0434\u043b\u044f DarkSword-\u043f\u043e\u043b\u043e\u0432\u0438\u043d\u044b.<\/p>\n<\/li>\n<li>\n<p><strong>Lockdown Mode<\/strong> \u0434\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0441 \u0432\u044b\u0441\u043e\u043a\u0438\u043c \u0440\u0438\u0441\u043a\u043e\u043c: \u043e\u043d \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0442\u043e\u0447\u043a\u0438 \u0432\u0445\u043e\u0434\u0430 \u0432 JavaScriptCore, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043e\u0431\u0435 \u0446\u0435\u043f\u043e\u0447\u043a\u0438.<\/p>\n<\/li>\n<li>\n<p><strong>\u0425\u0430\u043d\u0442\u0438\u043d\u0433 \u043d\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445<\/strong> \u043f\u043e \u043f\u0443\u0442\u044f\u043c \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u043e\u0432 \u0438 \u043a\u043b\u044e\u0447\u0430\u043c localStorage. \u0414\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e sysdiagnose.<\/p>\n<\/li>\n<li>\n<p><strong>\u0412 \u0441\u0435\u0442\u0438<\/strong> \u043e\u043f\u043e\u0432\u0435\u0449\u0430\u0442\u044c \u043f\u043e \u0448\u0430\u0431\u043b\u043e\u043d\u0443 HTTP\/1.0 beacon \u0438 boundary <code>------HqBound<\/code>, \u0430 \u043d\u0435 \u043d\u0430 \u0441\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u043c\u0435\u043d\u043e\u0432.<\/p>\n<\/li>\n<li>\n<p><strong>\u0425\u0435\u0448-\u0444\u0438\u0434\u044b \u043f\u043e \u044d\u0442\u043e\u043c\u0443 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u0443 \u2014 \u043d\u0438\u0437\u043a\u043e\u0439 \u0446\u0435\u043d\u043d\u043e\u0441\u0442\u0438:<\/strong> \u043a\u0430\u0436\u0434\u043e\u0435 \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u0438\u043d\u043e\u0441\u0438\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u0430.<\/p>\n<\/li>\n<li>\n<p><strong>\u0412\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432 \u043d\u0430 iPhone:<\/strong> \u0435\u0441\u043b\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e \u0437\u0430\u0445\u043e\u0434\u0438\u043b\u043e \u043d\u0430 \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b, \u0441\u0447\u0438\u0442\u0430\u0439\u0442\u0435 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c\u0438 \u0432\u0441\u0435 seed-\u0444\u0440\u0430\u0437\u044b \u0438 keystore \u0432 imToken, TokenPocket, Trust Wallet, Bitget, Phantom, Solflare, Uniswap, Tonhub, Bitpie \u0438 TronLink. \u041f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442\u0435 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0441 \u0447\u0438\u0441\u0442\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430.<\/p>\n<\/li>\n<\/ol>\n<p>\u0413\u043b\u0430\u0432\u043d\u044b\u0439 \u0432\u044b\u0432\u043e\u0434 \u0448\u0438\u0440\u0435 P7: \u0446\u0435\u043f\u043e\u0447\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u043b\u0433\u043e\u0434\u0430 \u043d\u0430\u0437\u0430\u0434 \u0431\u044b\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c \u0442\u0440\u0451\u0445 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432 \u0448\u043f\u0438\u043e\u043d\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u043e\u0444\u0438\u043b\u044f, \u0442\u0435\u043f\u0435\u0440\u044c \u2014 \u043c\u043e\u0434\u0443\u043b\u044c \u043f\u0430\u0440\u0442\u043d\u0451\u0440\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0441 \u043a\u043e\u0434\u0430\u043c\u0438 \u043a\u0430\u043d\u0430\u043b\u043e\u0432 \u0438 \u043a\u0430\u0437\u0438\u043d\u043e-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430\u043c\u0438. \u041b\u043e\u0433\u0438\u043a\u0430 \u00ab\u043c\u044b \u043d\u0435 \u0446\u0435\u043b\u044c \u0434\u043b\u044f \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0430, \u043d\u0430\u0441 \u044d\u0442\u043e \u043d\u0435 \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f\u00bb \u0434\u043b\u044f iPhone \u0431\u043e\u043b\u044c\u0448\u0435 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442.<\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1092766\/\">https:\/\/habr.com\/ru\/articles\/1092766\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u041e\u0434\u043d\u043e \u043f\u043e\u0441\u0435\u0449\u0435\u043d\u0438\u0435 \u0432\u0435\u0431-\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0441 iPhone \u043d\u0430 iOS 18.4\u201318.7 \u2014 \u0438 \u0447\u0435\u0440\u0435\u0437 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0435\u043a\u0443\u043d\u0434 \u0432 SpringBoard \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0438\u043c\u043f\u043b\u0430\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0441\u0432\u044f\u0437\u043a\u0443 \u043a\u043b\u044e\u0447\u0435\u0439 \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435, \u043d\u0430\u0445\u043e\u0434\u0438\u0442 seed-\u0444\u0440\u0430\u0437\u044b \u0438 keystore \u043a\u0440\u0438\u043f\u0442\u043e\u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u0445 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \u0415\u0449\u0451 \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u0442\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b\u0430 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430\u044f \u0435\u0434\u0438\u043d\u0438\u0446\u0430\u043c \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u041f\u043e \u043d\u0430\u0448\u0435\u0439 \u043e\u0446\u0435\u043d\u043a\u0435, \u0441\u0435\u0433\u043e\u0434\u043d\u044f \u044d\u0442\u0430 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u043e\u0432 \u0441 \u043f\u0430\u0440\u0442\u043d\u0451\u0440\u0441\u043a\u0438\u043c\u0438 \u00ab\u043a\u0430\u043d\u0430\u043b\u0430\u043c\u0438\u00bb, \u0430 \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430\u043c\u0438 \u0441\u043b\u0443\u0436\u0430\u0442 \u0441\u0430\u0439\u0442\u044b \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u0438\u0445 \u043e\u043d\u043b\u0430\u0439\u043d-\u043a\u0430\u0437\u0438\u043d\u043e.8 \u043e\u043a\u0442\u044f\u0431\u0440\u044f iVerify \u043e\u043f\u0438\u0441\u0430\u043b\u0430 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442-\u0446\u0435\u043f\u043e\u0447\u043a\u0438 DarkSword, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0437\u0432\u0430\u043b\u0430 \u00abP7\u00bb. \u041c\u044b \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b\u0438 \u0435\u0433\u043e \u043f\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0438 \u043d\u0430\u0448\u043b\u0438 \u0442\u043e, \u0447\u0435\u0433\u043e \u0432 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0435\u0442: \u0442\u0440\u0435\u0442\u044c\u044e \u0441\u0431\u043e\u0440\u043a\u0443 P7 \u0441 \u043d\u043e\u0432\u043e\u0439 \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u043e\u0439 \u0438 \u043d\u043e\u0432\u044b\u043c \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c, \u043f\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u0430 \u0441 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u043c GHOSTBLADE \u0438 \u043a\u043b\u0430\u0441\u0442\u0435\u0440 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u00abqqtime\u00bb, \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0441 \u0438\u044e\u043b\u044f 2026 \u0433\u043e\u0434\u0430. \u0417\u0430\u043e\u0434\u043d\u043e \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043e\u0448\u0438\u0431\u043a\u0443 \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043a\u043e\u0447\u0435\u0432\u0430\u043b\u0430 \u043f\u043e \u0440\u0430\u043d\u043d\u0438\u043c \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f\u043c \u043e \u043c\u0430\u0440\u0442\u043e\u0432\u0441\u043a\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 TA446. ## \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DarkSword \u0438 \u043a\u0430\u043a \u043e\u043d \u0443\u0442\u0451\u043a DarkSword \u2014 \u043f\u043e\u043b\u043d\u0430\u044f \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442-\u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0434\u043b\u044f iOS, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u0430\u044f \u043d\u0430 JavaScript. \u0412 \u043c\u0430\u0440\u0442\u0435 2026 \u0433\u043e\u0434\u0430 Google Threat Intelligence Group (GTIG) \u043e\u043f\u0438\u0441\u0430\u043b\u0430 \u0435\u0451 \u0432 \u043e\u0442\u0447\u0451\u0442\u0435 \u00abThe Proliferation of DarkSword\u00bb. \u0426\u0435\u043f\u043e\u0447\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0435\u0441\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0442\u0440\u0438 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0431\u044b\u043b\u0438 zero-day:CVE\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0420\u043e\u043b\u044c \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435CVE-2025-31277, CVE-2025-43529JavaScriptCoreRCE \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 (iOS \u043d\u0438\u0436\u0435 \u0438 \u0432\u044b\u0448\u0435 18.6)CVE-2026-20700dyld\u041e\u0431\u0445\u043e\u0434 PACCVE-2025-14174ANGLE\u0418\u0437 WebContent \u0432 GPU-\u043f\u0440\u043e\u0446\u0435\u0441\u0441CVE-2025-43510XNU\u0418\u0437 GPU-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0432 mediaplaybackdCVE-2025-43520XNU VFS (\u0433\u043e\u043d\u043a\u0430)\u041f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0434\u043e \u044f\u0434\u0440\u0430Apple \u0437\u0430\u043a\u0440\u044b\u043b\u0430 \u0438\u0445 \u0432 iOS 18.7.2, 18.7.3, 26.1, 26.2 \u0438 26.3.\u0414\u043e \u0443\u0442\u0435\u0447\u043a\u0438 \u0443 GTIG \u0431\u044b\u043b\u043e \u0442\u0440\u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0438: UNC6748 (\u0421\u0430\u0443\u0434\u043e\u0432\u0441\u043a\u0430\u044f \u0410\u0440\u0430\u0432\u0438\u044f, \u043d\u043e\u044f\u0431\u0440\u044c 2025, \u0431\u044d\u043a\u0434\u043e\u0440 GHOSTKNIFE), PARS Defense, \u043a\u043e\u0442\u043e\u0440\u0443\u044e GTIG \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0437\u0443\u0435\u0442 \u043a\u0430\u043a \u0442\u0443\u0440\u0435\u0446\u043a\u043e\u0433\u043e \u043f\u043e\u0441\u0442\u0430\u0432\u0449\u0438\u043a\u0430 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0439 \u0441\u043b\u0435\u0436\u043a\u0438 (\u0431\u044d\u043a\u0434\u043e\u0440 GHOSTSABER) \u0438 UNC6353 \u2014 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0448\u043f\u0438\u043e\u043d\u0441\u043a\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b\u0430 \u0443\u043a\u0440\u0430\u0438\u043d\u0441\u043a\u0438\u0435 \u0441\u0430\u0439\u0442\u044b \u043f\u043e \u0441\u0445\u0435\u043c\u0435 watering hole \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0441 Coruna, \u0430 \u0441 \u0434\u0435\u043a\u0430\u0431\u0440\u044f 2025 \u0433\u043e\u0434\u0430 \u0441 DarkSword \u0438 \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u043e\u043c-\u0441\u0431\u043e\u0440\u0449\u0438\u043a\u043e\u043c \u0434\u0430\u043d\u043d\u044b\u0445 GHOSTBLADE. \u041f\u043e \u043e\u0446\u0435\u043d\u043a\u0435 GTIG, GHOSTBLADE, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u043d\u0430\u043f\u0438\u0441\u0430\u043b\u0438 \u0441\u0430\u043c\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 DarkSword. \u041a\u0442\u043e \u043e\u043d\u0438 \u2014 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e.22 \u043c\u0430\u0440\u0442\u0430 2026 \u0433\u043e\u0434\u0430 \u043f\u043e\u043b\u043d\u0430\u044f \u0441\u0431\u043e\u0440\u043a\u0430 (\u043a\u0438\u0442 UNC6353 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 GHOSTBLADE) \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435. \u0427\u0435\u0440\u0435\u0437 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u043d\u0435\u0439 \u0435\u0451 \u0443\u0436\u0435 \u043f\u0435\u0440\u0435\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u0440\u0443\u0433\u0438\u0435: \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0430 TA446 \/ Star Blizzard \u043f\u0440\u043e\u0442\u0438\u0432 \u0433\u0440\u0430\u0436\u0434\u0430\u043d\u0441\u043a\u043e\u0433\u043e \u043e\u0431\u0449\u0435\u0441\u0442\u0432\u0430. \u041a \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044e iVerify \u043d\u0430\u0441\u0447\u0438\u0442\u0430\u043b\u0430 \u043e\u043a\u043e\u043b\u043e 17 000 \u0434\u043e\u043c\u0435\u043d\u043e\u0432 \u0441\u043e \u0432\u0442\u043e\u0440\u044b\u043c \u043f\u043e\u043a\u043e\u043b\u0435\u043d\u0438\u0435\u043c DarkSword \u0438 Coruna \u0438 \u0432\u0432\u0435\u043b\u0430 \u0442\u0435\u0440\u043c\u0438\u043d \u00abDarkCoruna\u00bb \u0434\u043b\u044f \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u0439, \u0441\u043e\u0432\u043c\u0435\u0449\u0430\u044e\u0449\u0438\u0445 \u043e\u0431\u0435 \u0446\u0435\u043f\u043e\u0447\u043a\u0438: Coruna \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 iOS 13\u201317.2.1, DarkSword \u2014 18.x.\u0427\u0442\u043e iVerify \u043d\u0430\u0437\u0432\u0430\u043b\u0430 P7\u0412 \u043f\u043e\u0441\u0442\u0435 \u00abSleep, Beacon, Steal, Repeat\u00bb \u043e\u0442 8 \u043e\u043a\u0442\u044f\u0431\u0440\u044f iVerify \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 P7 \u043f\u043e \u0437\u0430\u0440\u0430\u0436\u0451\u043d\u043d\u043e\u043c\u0443 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0443 \u043a\u043b\u0438\u0435\u043d\u0442\u0430. \u0418\u043c\u043f\u043b\u0430\u043d\u0442 \u0436\u0438\u0432\u0451\u0442 \u0432 SpringBoard, \u043a\u0430\u0436\u0434\u044b\u0435 15 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u043e HTTP\/1.0 \u0441\u0442\u0443\u0447\u0438\u0442\u0441\u044f \u043d\u0430 \/beacon, \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 sleep, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 \/result, \/a, \/event, \/u, \/nb, \/p \u0438 \/war, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0436\u0451\u0441\u0442\u043a\u043e \u0437\u0430\u0434\u0430\u043d\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 User-Agent \u0434\u043b\u044f iOS 18.5 \u0438 \u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u0442\u0435\u043b\u044c multipart, \u0430 \u0441\u0432\u044f\u0437\u043a\u0443 \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0432 JSON \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435. \u041f\u0440\u0435\u0444\u0438\u043a\u0441 p7_ \u0432 \u043a\u043e\u0434\u0435 \u0430\u0433\u0435\u043d\u0442\u0430 \u0434\u0430\u043b \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0443 \u0438\u043c\u044f.iVerify \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0445\u0435\u0448\u0438 \u0434\u0435\u0441\u044f\u0442\u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 P7. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043d\u0430\u0448\u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 VirusTotal \u0431\u044b\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u0432\u0430 \u0438\u0437 \u043d\u0438\u0445, \u0430 \u0441\u0430\u043c \u0430\u0433\u0435\u043d\u0442 \u2014 \u043d\u0438\u0433\u0434\u0435.\u041a\u0430\u043a \u043c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438: \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u044b\u0435 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438\u041f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f: \u043c\u044b \u043d\u0435 \u043e\u0431\u0440\u0430\u0449\u0430\u043b\u0438\u0441\u044c \u043d\u0438 \u043a \u043e\u0434\u043d\u043e\u043c\u0443 \u0445\u043e\u0441\u0442\u0443 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445. \u0412\u0441\u0451 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043e \u0438\u0437 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0443\u0436\u0435 \u043b\u0435\u0436\u0438\u0442 \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435:urlscan.io \u2014 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u0441\u043a\u0430\u043d\u044b \u0441\u0442\u0440\u0430\u043d\u0438\u0446-\u043f\u0440\u0438\u043c\u0430\u043d\u043e\u043a. urlscan \u0445\u0440\u0430\u043d\u0438\u0442 \u0442\u0435\u043b\u0430 \u043e\u0442\u0432\u0435\u0442\u043e\u0432, \u0438 \u0438\u0445 \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u044c \u043f\u043e \u0445\u0435\u0448\u0443. \u0412\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u043c\u044b \u0441\u0432\u0435\u0440\u044f\u043b\u0438 \u0441 \u0445\u0435\u0448\u0430\u043c\u0438 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0433\u043e \u043a\u0440\u0430\u0443\u043b\u0435\u0440\u0430 \u0442\u0430\u043c, \u0433\u0434\u0435 \u043e\u043d\u0438 \u0431\u044b\u043b\u0438.tria.ge \u2014 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u0430\u044f \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430; 3 \u043e\u043a\u0442\u044f\u0431\u0440\u044f \u0442\u0443\u0434\u0430 \u043a\u0442\u043e-\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b \u0430\u0440\u0445\u0438\u0432 \u0441 \u043f\u043e\u043b\u043d\u044b\u043c \u043a\u0438\u0442\u043e\u043c DarkSword.MWDB CERT Polska \u2014 \u043e\u0431\u0440\u0430\u0437\u0435\u0446 GHOSTBLADE, \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0439 GTIG, \u0438 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044c\u0441\u043a\u0438\u0439 \u043a\u0438\u0442 DarkSword \u0438\u0437 \u0444\u0438\u0434\u0430 MalwareBazaar \u043a\u0430\u043a \u044d\u0442\u0430\u043b\u043e\u043d\u044b \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f.VirusTotal, Hybrid Analysis, AlienVault OTX, Validin \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435: \u0434\u0430\u0442\u044b \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u044f, \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u044b\u0439 DNS, \u0434\u0430\u043d\u043d\u044b\u0435 WHOIS \u0438 \u043d\u0435\u0447\u0451\u0442\u043a\u0438\u0435 \u0445\u0435\u0448\u0438. \u041d\u0438\u043a\u0430\u043a\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043c\u044b \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438.\u041a\u043e\u0434 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438, \u043e\u0444\u043b\u0430\u0439\u043d, \u0431\u0435\u0437 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f JavaScript \u0432 \u043a\u0430\u043a\u043e\u043c-\u043b\u0438\u0431\u043e \u0440\u0430\u043d\u0442\u0430\u0439\u043c\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 WebKit \u0438\u043b\u0438 JavaScriptCore.\u041d\u0430\u0445\u043e\u0434\u043a\u0430 1: \u0442\u0440\u0435\u0442\u044c\u044f \u0441\u0431\u043e\u0440\u043a\u0430 P7\u0410\u0440\u0445\u0438\u0432 test.zip (SHA-256 ef9263b1\u2026, 437 \u041a\u0411), \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0439 \u0432 tria.ge 3 \u043e\u043a\u0442\u044f\u0431\u0440\u044f 2026 \u0433\u043e\u0434\u0430, \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043f\u043e\u043b\u043d\u043e\u0435 \u0440\u0430\u0437\u0432\u0451\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u0435 DarkSword \u0441 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u043e\u0442 29 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f.\u0424\u0430\u0439\u043b\u0420\u0430\u0437\u043c\u0435\u0440\u041d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435index.html51 385 \u0411\u041f\u0440\u0438\u043c\u0430\u043d\u043a\u0430: \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0435 \u043e\u043d\u043b\u0430\u0439\u043d-\u043a\u0430\u0437\u0438\u043d\u043e \u00ab\u901a\u535a\u5a31\u4e50 \u2013 www.iospc8[.]com\u00bb, \u0441\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 ub555[.]net \/ ub11[.]org (\u0431\u0440\u0435\u043d\u0434 \u00ab\u043a\u0430\u0437\u0438\u043d\u043e-\u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u00bb)jmp.html2 215 \u0411\u0421\u0442\u0430\u0440\u0442\u043e\u0432\u0430\u044f \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430: \u043f\u044f\u0442\u044c \u0441\u043a\u0440\u044b\u0442\u044b\u0445 iframe \u0441 \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b\u043e\u043c 1,5 \u0441, \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0432 sessionStorage (rce_locked, uid), \u0430\u0432\u0442\u043e\u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 45 \u04410kio7x2igj0bp79owd.html836 \u0411\u0421\u0442\u043e\u0440\u043e\u0436: \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443, \u0435\u0441\u043b\u0438 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u0437\u0430\u0432\u0438\u0441rce_loader.js7 318 \u0411\u0412\u044b\u0431\u043e\u0440 \u0441\u0442\u0430\u0434\u0438\u0438 \u0432 \u0441\u0442\u0438\u043b\u0435 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e \u043a\u0438\u0442\u0430, \u043d\u043e \u0441 \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u0439 \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0435\u0439 (SERVER_LOG = true, \/log.html) \u0438 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u043c \u043d\u0430 \/406.html \u0434\u043b\u044f \u043d\u0435\u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432rce_module.js173 079 \u0411RCE-\u043c\u043e\u0434\u0443\u043b\u044c CVE-2025-31277, SHA-256 92c7d246\u2026 \u2014 \u043d\u0435 \u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0441\u043e \u0441\u0431\u043e\u0440\u043e\u043a UNC6353, TA446 \u0438 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u0430rce_worker_18.4.js \/ 18.6.js45 \u041a\u0411 \/ 520 \u041a\u0411\u0412\u043e\u0440\u043a\u0435\u0440\u044b \u0434\u043b\u044f iOS 18.4\u201318.5 \u0438 18.6\u201318.7sbx0_main_18.4.js \/ sbx1_main.js400 \u041a\u0411 \/ 310 \u041a\u0411\u0412\u044b\u0445\u043e\u0434 \u0438\u0437 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044bpe_main.js793 879 \u0411\u042d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u044f\u0434\u0440\u0430 + \u0431\u0430\u043d\u0434\u043b \u0438\u043c\u043f\u043b\u0430\u043d\u0442\u0430. \u041d\u0430 15 \u041a\u0411 \u0431\u043e\u043b\u044c\u0448\u0435 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u0430 \u2014 \u0437\u0434\u0435\u0441\u044c \u0438 \u0436\u0438\u0432\u0451\u0442 P7\u0414\u043e\u043c\u0435\u043d \u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 iospc8[.]com \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d 23 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f 2026 \u0433\u043e\u0434\u0430 (GoDaddy, DNS Cloudflare) \u2014 \u0437\u0430 \u0448\u0435\u0441\u0442\u044c \u0434\u043d\u0435\u0439 \u0434\u043e \u0441\u0431\u043e\u0440\u043a\u0438 \u043a\u0438\u0442\u0430. \u041f\u043e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u043c \u0438 DNS-\u0434\u0430\u043d\u043d\u044b\u043c, \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 www.y21t8bcya6q9b7155a[.]cc \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d 25 \u043c\u0430\u044f 2026 \u0433\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 Gname.com, \u0441\u0442\u0440\u0430\u043d\u043e\u0439 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u043d\u0442\u0430 \u0443\u043a\u0430\u0437\u0430\u043d \u041a\u0438\u0442\u0430\u0439; \u0434\u043e\u043c\u0435\u043d \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0437\u0430 Cloudflare, \u0430 \u0434\u043e \u043f\u0435\u0440\u0435\u0435\u0437\u0434\u0430 \u0437\u0430 CDN \u043a\u0440\u0430\u0442\u043a\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u043b\u0441\u044f \u0432 \u0430\u0434\u0440\u0435\u0441 Alibaba Cloud \u0432 \u0413\u043e\u043d\u043a\u043e\u043d\u0433\u0435. \u041f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u044b \u0437\u0434\u0435\u0441\u044c \u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0430\u043a \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b. \u041d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u044d\u0442\u0438\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432 \u043d\u0435\u0442 \u0432 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u0430\u0445 iVerify.\u0428\u0430\u043f\u043a\u0430 \u0430\u0433\u0435\u043d\u0442\u0430 \u043e\u0442\u043a\u0440\u043e\u0432\u0435\u043d\u043d\u0430: \u00abC2 Agent Payload \u2013 persistent loop in SpringBoard. Communicates with command.py via HTTP \u2026 replaced by server.py at load time\u00bb. \u0421\u0443\u0434\u044f \u043f\u043e \u044d\u0442\u043e\u043c\u0443 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044e, \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u2014 Python-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043f\u0440\u0438 \u0432\u044b\u0434\u0430\u0447\u0435 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 URL \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0432 \u0438\u043c\u043f\u043b\u0430\u043d\u0442. \u0415\u0449\u0451 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435 \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430 C2_CHANNEL_CODE: \u043e\u043d\u0430 \u0443\u0445\u043e\u0434\u0438\u0442 \u043f\u043e\u043b\u0435\u043c source \u0432 \u043a\u0430\u0436\u0434\u043e\u0439 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438, heartbeat \u0438 \u0438\u043d\u0432\u0435\u043d\u0442\u0430\u0440\u0438\u0437\u0430\u0446\u0438\u0438. \u041a\u043e\u0434 \u043a\u0430\u043d\u0430\u043b\u0430 \u2014 \u044d\u0442\u043e \u0442\u043e, \u0447\u0435\u043c \u043f\u0430\u0440\u0442\u043d\u0451\u0440\u0441\u043a\u0438\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442 \u0442\u0440\u0430\u0444\u0438\u043a. \u0415\u0433\u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043a\u0438\u0442 \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0438\u0442\u0435\u043b\u0435\u0439, \u0430 \u043d\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0422\u043e\u0442 \u0436\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u043c\u044b \u043f\u043e\u0442\u043e\u043c \u043d\u0430\u0448\u043b\u0438 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438.\u041d\u0430\u0445\u043e\u0434\u043a\u0430 2: \u0447\u0442\u043e P7 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043c\u0435\u043d\u044f\u0435\u0442\u041f\u043e\u043c\u043e\u0434\u0443\u043b\u044c\u043d\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0441 GHOSTBLADEpe_main.js \u2014 webpack-\u0431\u0430\u043d\u0434\u043b. \u041f\u043e\u043c\u0438\u043c\u043e \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0432 \u043d\u0451\u043c \u0441\u0442\u0440\u043e\u043a\u0430\u043c\u0438 \u0437\u0430\u0448\u0438\u0442\u044b \u0447\u0435\u0442\u044b\u0440\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0435 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438: loader.js, c2_agent.js, keychain_copier.js \u0438 MigFilterBypassThread.js. \u041c\u044b \u0438\u0437\u0432\u043b\u0435\u043a\u043b\u0438 \u0438\u0445 \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u043b\u0438 \u0441 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u043c\u0438 \u043c\u043e\u0434\u0443\u043b\u044f\u043c\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u0430 GHOSTBLADE, \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e GTIG (SHA-256 2e5a56be\u2026).\u041c\u043e\u0434\u0443\u043b\u044cGHOSTBLADEP7, \u0441\u0431\u043e\u0440\u043a\u0430 3\u0412\u0435\u0440\u0434\u0438\u043a\u0442loader.js10 096 \u041110 096 \u0411\u041f\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u043e \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u0435\u043d. \u00abP7 loader\u00bb \u0438\u0437 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u0445\u0435\u0448\u0435\u0439 \u2014 \u044d\u0442\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a GHOSTBLADE; \u043e\u0442\u0441\u044e\u0434\u0430 \u043d\u043e\u043b\u044c \u0434\u0435\u0442\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 VirusTotalMigFilterBypassThread.js3 797 \u0441\u0442\u0440\u043e\u043a3 797 \u0441\u0442\u0440\u043e\u043a\u041a\u043e\u0434 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u0435\u043d, \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0444\u043e\u0440\u043c\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u0441\u043a\u043e\u0431\u043e\u043a \u0432 \u043a\u043e\u043d\u0446\u0435keychain_copier.js350 \u0441\u0442\u0440\u043e\u043a360 \u0441\u0442\u0440\u043e\u043a\u0412\u0435\u0440\u0441\u0438\u044f GHOSTBLADE \u043f\u043b\u044e\u0441 WAL\/SHM-\u0444\u0430\u0439\u043b\u044b keychain-2.db \u0438 \u0431\u0430\u0437\u0430 Apple Notesfile_downloader.js \u2192 c2_agent.js3 740 \u0441\u0442\u0440\u043e\u043a, \u043e\u0434\u043d\u043e\u0440\u0430\u0437\u043e\u0432\u044b\u0439 \u044d\u043a\u0441\u0444\u0438\u043b \u043d\u0430 sqwas.shapelie[.]com \u0441 X-Device-UUID4 756 \u0441\u0442\u0440\u043e\u043a\u041f\u0435\u0440\u0435\u043f\u0438\u0441\u0430\u043d. \u041e\u0431\u0449\u0438\u0439 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043b\u0430\u0441\u0441-\u0445\u0435\u043b\u043f\u0435\u0440 Native (2,5 % \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0449\u0438\u0445 \u0441\u0442\u0440\u043e\u043a). \u0421\u0431\u043e\u0440\u0449\u0438\u043a\u0438 Telegram, WhatsApp, iCloud, Wi-Fi \u0438 SMS \u0443\u0431\u0440\u0430\u043d\u044bwifi_password_dump.js, wifi_password_securityd.js, icloud_dumper.js\u0435\u0441\u0442\u044c\u043d\u0435\u0442\u0423\u0434\u0430\u043b\u0435\u043d\u044b \u2014 \u0430 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u043d\u0438\u043c\u0438 \u0432\u0441\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 YARA-\u043f\u0440\u0430\u0432\u0438\u043b\u0430 GTIG G_Datamine_GHOSTBLADE_1\u0418\u043d\u0430\u0447\u0435 \u0433\u043e\u0432\u043e\u0440\u044f, \u0430\u0432\u0442\u043e\u0440\u044b P7 \u043d\u0435 \u0442\u0440\u043e\u0433\u0430\u043b\u0438 \u0441\u0430\u043c\u0443\u044e \u0441\u043b\u043e\u0436\u043d\u0443\u044e \u0447\u0430\u0441\u0442\u044c DarkSword \u2014 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 TaskRop \u0438 \u043e\u0431\u0445\u043e\u0434 MIG-\u0444\u0438\u043b\u044c\u0442\u0440\u0430 \u2014 \u0438 \u0437\u0430\u043c\u0435\u043d\u0438\u043b\u0438 \u0431\u0438\u0437\u043d\u0435\u0441-\u043b\u043e\u0433\u0438\u043a\u0443. \u042d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u00ab\u043d\u043e\u0432\u044b\u0439\u00bb \u0438\u043c\u043f\u043b\u0430\u043d\u0442 \u0431\u043e\u043b\u044c\u0448\u0435\u0439 \u0447\u0430\u0441\u0442\u044c\u044e \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 \u0431\u0430\u0439\u0442\u043e\u0432 \u0443\u0442\u0451\u043a\u0448\u0435\u0433\u043e.\u041a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0430\u0433\u0435\u043d\u0442c2_agent.js \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442\u0441\u044f \u0432 SpringBoard \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0434\u043e \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041e\u043d \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e (\/a), \u0437\u0430\u0442\u0435\u043c \u0432 \u0446\u0438\u043a\u043b\u0435 \u0440\u0430\u0437 \u0432 15 \u0441\u0435\u043a\u0443\u043d\u0434 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 beacon {uuid, device_info, status: &#171;idle&#187;}, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u0443\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0430 \/result \u0441 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0430\u043c\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0438 \u0437\u0430\u0434\u0430\u0447\u0438. \u0422\u0440\u0430\u043d\u0441\u043f\u043e\u0440\u0442 \u2014 HTTP\/1.0 \u0447\u0435\u0440\u0435\u0437 CFStream \u0441 kCFStreamSSLValidatesCertificateChain = false, \u0442\u043e \u0435\u0441\u0442\u044c \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043b\u044e\u0431\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438: basic_info, disk_scan, ios_app_data, wallet_extract, wallet_scan, memo_scan, photo_scan, photos, apps, download, upload, file_upload, exec, eval, execute_command, sleep, exit. \u041e\u0434\u0438\u043d \u0442\u043e\u043b\u044c\u043a\u043e execute_command \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u043e\u043a\u043e\u043b\u043e \u043f\u044f\u0442\u0438\u0434\u0435\u0441\u044f\u0442\u0438 shell-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u043f\u043e\u0434\u043a\u043e\u043c\u0430\u043d\u0434 (ls, cat, find, grep, ps, netstat, ifconfig, hexdump, memdump, httpspy \u0438 \u0434\u0440\u0443\u0433\u0438\u0435) \u2014 \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0443 \u0431\u0435\u0437 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u0433\u043e \u0448\u0435\u043b\u043b\u0430.\u041d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u043e\u0441\u0442\u044c \u043d\u0430 \u043a\u043e\u0448\u0435\u043b\u044c\u043a\u0438 \u043f\u0440\u044f\u043c\u0430\u044f. \u0410\u0433\u0435\u043d\u0442 \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u044b \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u043f\u043e bundle ID \u0434\u043b\u044f imToken, TokenPocket, Trust Wallet, Bitget \/ BitKeep, Phantom, Solflare, Uniswap, Tonhub, Bitpie \u0438 TronLink, \u0447\u0438\u0442\u0430\u0435\u0442 \u0431\u0430\u0437\u044b React Native AsyncStorage, \u0430 \u0434\u043b\u044f imToken \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 Ethereum keystore v3 \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435 (PBKDF2, AES-CTR, HMAC-SHA256 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043d\u0430 JavaScript) \u043f\u0430\u0440\u043e\u043b\u0435\u043c, \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u043c \u0432 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0432\u044f\u0437\u043a\u0435 \u043a\u043b\u044e\u0447\u0435\u0439. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0434\u0430\u043c\u043f\u043e\u043c keychain \u0443\u0445\u043e\u0434\u0438\u0442 \u043d\u0430 \/war.\u00abP7 Phase 2\u00bb: AppleKeyStore \u043a\u0430\u043a \u043e\u0440\u0430\u043a\u0443\u043b\u041f\u043e-\u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u043c\u0443 \u043d\u043e\u0432\u0430\u044f \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0438\u044f \u2014 \u043d\u0435 \u0432 \u0430\u0433\u0435\u043d\u0442\u0435, \u0430 \u0432 \u0441\u0430\u043c\u043e\u043c pe_main.js, \u0432 \u0431\u043b\u043e\u043a\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0430\u0432\u0442\u043e\u0440\u044b \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043b\u0438 \u00abP7 Phase 2: V4 Local SQLite + Remote AKS Oracle Pipeline\u00bb.\u041f\u043e\u0441\u043b\u0435 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u0430 \u044f\u0434\u0440\u0430 pe_main.js \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 keychain_copier.js \u0432 configd (\u0442\u043e\u0442 \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442 keychain-2.db \u0438 keybag\u2019\u0438 \u0432 \/tmp), \u0430 loader.js \u0438 c2_agent.js \u2014 \u0432 SpringBoard. \u0414\u0430\u043b\u044c\u0448\u0435:\u00ab\u0431\u0443\u0434\u0438\u0442\u00bb securityd \u0442\u0440\u0435\u043c\u044f \u0432\u044b\u0437\u043e\u0432\u0430\u043c\u0438 SecItemCopyMatching;\u043f\u043e\u0434\u043d\u0438\u043c\u0430\u0435\u0442 \u043a\u0430\u043d\u0430\u043b \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0432 securityd;\u0438\u0437 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0430 securityd \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 IOKit-\u0441\u0435\u0440\u0432\u0438\u0441 AppleKeyStore;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 aks_unwrap \u043a\u0430\u043a \u043e\u0440\u0430\u043a\u0443\u043b, \u0447\u0442\u043e\u0431\u044b \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u043a\u043b\u044e\u0447\u0438 \u043a\u043b\u0430\u0441\u0441\u043e\u0432 \u0434\u043b\u044f \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432 \u0438\u0437 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u043a\u043e\u043f\u0438\u0438 \u0431\u0430\u0437\u044b keychain;\u043f\u0438\u0448\u0435\u0442 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b \u0432 \/private\/var\/tmp\/keychain_c2_dump.json, \u0437\u0430\u0442\u0435\u043c \u0447\u0435\u0442\u044b\u0440\u0451\u0445\u0431\u0430\u0439\u0442\u043d\u044b\u0439 \u043c\u0430\u0440\u043a\u0435\u0440 .done, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0430\u0433\u0435\u043d\u0442 \u043e\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u0442 \u0434\u043e 180 \u0441\u0435\u043a\u0443\u043d\u0434, \u043f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043f\u0430\u043a\u0435\u0442 \u043a\u043e\u0448\u0435\u043b\u044c\u043a\u043e\u0432.GHOSTBLADE \u043b\u0438\u0448\u044c \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043b \u0444\u0430\u0439\u043b\u044b \u0441\u0432\u044f\u0437\u043a\u0438 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. P7 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-498141","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/498141","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=498141"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/498141\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=498141"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=498141"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=498141"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}