Un nuevo programa espía para iPhone, identificado como P7 DarkSword, fue detectado por investigadores de iVerify, en un informe publicado en octubre de 2026. La amenaza apunta a información sensible almacenada en el dispositivo, como contraseñas guardadas, imágenes, notas y datos vinculados a monederos de criptomonedas.
El hallazgo surgió durante el análisis de un teléfono ya infectado y dejó al descubierto una versión más agresiva de la familia DarkSword, con mayor capacidad para recolectar datos y para comunicarse de forma remota con los atacantes. Apple explicó a CyberGuy que DarkSword proviene de un spyware mercenario desarrollado con una inversión considerable para operaciones de vigilancia sofisticadas; la filtración de ese código permitió que delincuentes comunes accedieran a una herramienta que antes estaba reservada a actores con mayores recursos.
El descubrimiento se produjo en agosto de 2026, cuando el sistema de seguridad de iVerify detectó actividad inusual en el dispositivo de un cliente. Con el permiso del usuario, los investigadores examinaron el teléfono y constataron que el spyware se comportaba de manera diferente a las variantes de DarkSword identificadas previamente.
Para confirmar el alcance de la amenaza, el equipo utilizó Validin, una plataforma de inteligencia de amenazas, que les permitió localizar otra versión del malware alojada en una infraestructura sospechosa. El análisis mostró que los atacantes habían modificado el código original para hacerlo más potente y más difícil de rastrear.
El prefijo P7 hallado en el código señala un cambio real: el software espía ahora recopila más información directamente en el dispositivo víctima y concede a los atacantes mayor control sobre las acciones tras la infección.
Entre las explicaciones de Apple, se destaca que DarkSword nació como una herramienta de espionaje mercenario, pensada para operaciones de vigilancia complejas, y que la filtración del código permitió que delincuentes comunes accedieran a una herramienta que, hasta entonces, estaba al alcance de actores con recursos considerables.
Una vez que logra comprometer un iPhone vulnerable, P7 DarkSword puede acceder a datos que la mayoría de los usuarios considerarían estrictamente privados. iVerify detalló varias funciones detectadas en el código: puede extraer información del llavero de iPhone, donde se guardan contraseñas y credenciales; esto genera un riesgo de acceso indebido a cuentas, aunque la investigación no confirma que todas las contraseñas sean legibles para los atacantes.
También cuenta con capacidad para localizar aplicaciones de monederos de criptomonedas y extraer datos asociados, con una función identificada específicamente para la app imToken. Entre otras capacidades, el spyware puede recuperar fotografías recientes desde la base de datos de imágenes del dispositivo y localizar y copiar las bases de datos de la app Notas, entre otras funciones no detalladas.
