GHOSTKNIFE
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
GHOSTKNIFE es un payload malicioso distribuido a través del kit de explotación DarkSword para dispositivos iOS. Su función principal es robar claves de recuperación BIP39 de aplicaciones de criptomonedas, facilitando el robo automatizado de fondos. La evidencia lo asocia con una operación comercial de explotación como servicio.
Cómo llega
Entra en el equipo a través del kit de explotación DarkSword para iOS. Se distribuye como parte de una operación comercial de explotación como servicio. La evidencia no detalla un vector inicial específico de ingeniería social ni un señuelo concreto para el usuario final.
Qué hace una vez dentro
Extrae frases de recuperación BIP39 de las aplicaciones de criptomonedas instaladas en el dispositivo. Facilita el robo automatizado de fondos mediante la exfiltración de estas claves. El análisis del servidor de producción reveló la recuperación de frases de recuperación de víctimas y directorios de botín de dispositivos.
A quién ataca
Apunta específicamente a usuarios de dispositivos iOS que utilizan aplicaciones de billeteras de criptomonedas. La plataforma objetivo cubre dieciocho aplicaciones diferentes de criptoactivos. La telemetría de beacon muestra dispositivos iOS chinos realizando consultas al servidor.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
