GHOSTSABER
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
GHOSTSABER es un payload malicioso distribuido a través del kit de explotación DarkSword para dispositivos iOS. Su función principal es robar claves de recuperación BIP39 de aplicaciones de criptomonedas, facilitando el robo automatizado de fondos. La evidencia lo asocia con una operación comercial de explotación como servicio.
Cómo llega
Entra en el dispositivo a través del kit de explotación DarkSword. La evidencia no detalla un vector inicial específico de ingeniería social ni un CVE particular para este payload, aunque el kit se asocia con múltiples vulnerabilidades en la base.
Qué hace una vez dentro
Extrae frases de recuperación BIP39 de las aplicaciones de criptomonedas instaladas en el dispositivo comprometido. Facilita el robo automatizado de fondos mediante la exfiltración de estas claves. La infraestructura asociada muestra un modelo de agentes o revendedores con un control centralizado.
A quién ataca
Apunta específicamente a usuarios de dispositivos iOS que utilizan aplicaciones de billeteras de criptomonedas. La plataforma objetivo cubre dieciocho aplicaciones diferentes para extraer frases de recuperación. No se especifican sectores corporativos ni regiones geográficas adicionales en la evidencia.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
