สปายแวร์ DarkSword กลับมาอีกครั้งในร่างใหม่ชื่อ P7 DarkSword หลังบริษัทความปลอดภัยมือถือ iVerify เผยแพร่รายงานเมื่อวันที่ 8 ตุลาคม 2569 ว่าพบมัลแวร์ตัวนี้บน iPhone ของพนักงานสถาบันการเงินแห่งหนึ่งตั้งแต่เดือนสิงหาคม จุดที่น่ากังวลคือมันขโมยข้อมูลใน Keychain และกระเป๋าคริปโตได้ และติดได้แค่เปิดเว็บที่ถูกฝังโค้ด ส่วน iPhone ที่อัปเดตแพตช์ล่าสุดแล้วไม่ได้รับผลกระทบจากช่องโหว่ชุดนี้
สารบัญ
⚡ สรุปข่าวใน 30 วินาที
- iVerify พบ P7 DarkSword สายพันธุ์ใหม่ของสปายแวร์ DarkSword บน iPhone ตั้งแต่สิงหาคม 2569
- เป้าหมายคือ iPhone ที่ยังใช้ iOS 18.4 ถึง 18.7 และยังไม่ได้ลงแพตช์
- ขโมยรหัสผ่านใน Keychain ข้อมูลกระเป๋าคริปโต โน้ต รูปภาพ และไฟล์ในเครื่องได้
- Apple ปิดช่องโหว่แล้วใน iOS 18.7.7 รวมถึง iOS 15.8.7 และ 16.7.15 สำหรับเครื่องรุ่นเก่า
- ทางที่ปลอดภัยที่สุดคืออัปเดตเป็น iOS 27 ซึ่ง Apple ตั้งเป็นอัปเดตแนะนำตั้งแต่ iOS 27.0.1
P7 DarkSword คืออะไร ต่างจาก DarkSword เดิมอย่างไร
DarkSword เป็นชุดเจาะระบบ (exploit chain) ที่ใช้โจมตี iPhone ซึ่ง Google เคยรายงานว่าถูกใช้โดยบริษัทขายเครื่องมือสอดแนมเชิงพาณิชย์หลายราย และกลุ่มที่คาดว่าได้รับการสนับสนุนจากรัฐ มีการพบการโจมตีในซาอุดีอาระเบีย ตุรกี มาเลเซีย และยูเครน
P7 ไม่ใช่ช่องโหว่ใหม่ของ iOS แต่เป็นมัลแวร์ที่ถูกติดตั้งหลังเจาะเครื่องสำเร็จแล้ว ชื่อ P7 มาจากตัวแปรที่ขึ้นต้นด้วย p7_ ซึ่งผู้โจมตีเพิ่มเข้าไปในโค้ดเดิม iVerify ระบุว่าครั้งนี้ผู้พัฒนาตั้งใจปรับโค้ดเอง ต่างจากสายพันธุ์อื่นที่ดูเหมือนใช้ AI ช่วยเขียน
- รองรับถึง iOS 18.6
- มี log ดีบักให้ตามรอยได้
- คัดลอกฐานข้อมูล Keychain ทั้งก้อน
- ขยายถึง iOS 18.7
- ลบ log และลดการฝังโปรเซสเพื่อซ่อนตัว
- ดึงเฉพาะข้อมูล Keychain เป็นไฟล์ JSON ก่อนส่งออก
P7 DarkSword ขโมยข้อมูลอะไรได้บ้าง
ตามรายงานของ iVerify และ 9to5Mac มัลแวร์ฝังตัวอยู่ในโปรเซส SpringBoard ของ iPhone แล้วติดต่อเซิร์ฟเวอร์ผู้โจมตีทุก 15 วินาทีโดยค่าเริ่มต้น ผู้โจมตีสั่งงานกลับมาได้สองทาง ทั้งรันคำสั่งคล้ายเชลล์และสั่งรัน JavaScript
อีกจุดที่ทำให้น่ากังวลคือวิธีแพร่กระจาย 9to5Mac รายงานว่าผู้ปล่อยมัลแวร์ใช้โฆษณาอันตรายในรูปแบบ watering-hole คือฝังโค้ดไว้ในเว็บที่คนเข้าเป็นประจำ เหยื่อจึงอาจติดได้แค่เปิดหน้าเว็บ โดยไม่จำเป็นต้องเป็นเป้าหมายเจาะจงแบบสปายแวร์ระดับรัฐที่ผ่านมา
ทำไมคนไทยควรสนใจ: มาเลเซียเป็นหนึ่งในประเทศที่พบการใช้ DarkSword และ P7 มุ่งขโมยข้อมูลกระเป๋าคริปโตกับรหัสผ่านโดยตรง ผู้ใช้ iPhone ในไทยที่ยังค้างอยู่บน iOS 18 รุ่นเก่า หรือเก็บคริปโตไว้ในมือถือ ควรอัปเดตเครื่องทันที
วิธีป้องกัน: ต้องอัปเดต iPhone เป็นเวอร์ชันไหน
Apple ปิดช่องโหว่ในชุด DarkSword ไปแล้วใน iOS 18.7.7 และออก iOS 15.8.7 กับ iOS 16.7.15 ให้เครื่องรุ่นเก่าที่ไปต่อไม่ได้ ทั้งยังเปิดให้เครื่องที่รองรับ iOS 26 เลือกลง iOS 18.7.7 ได้ด้วย
สำหรับคนที่ยังลังเลอยู่บน iOS 26 ตอนนี้ Apple ตั้ง iOS 27.0.1 เป็นอัปเดตหลักที่แนะนำในหน้า การตั้งค่า > ทั่วไป > รายการอัปเดตซอฟต์แวร์ แล้ว ตั้งแต่วันที่ 9 ตุลาคม 2569 ซึ่งเป็นสัญญาณว่า Apple มองว่าเวอร์ชันนี้เสถียรพอสำหรับผู้ใช้ทั่วไป
| สถานการณ์ของเครื่อง | สิ่งที่ควรทำ |
|---|---|
| ใช้ iOS 18.4 ถึง 18.7 | อัปเดตเป็น iOS 18.7.7 ขึ้นไป หรือ iOS 27 |
| ใช้ iOS 26 | อัปเดตเป็น iOS 27.0.1 หรือใหม่กว่า |
| iPhone รุ่นเก่ามาก | ลง iOS 15.8.7 หรือ 16.7.15 ตามที่เครื่องรองรับ |
| ใช้ iOS 27 ล่าสุด | เปิดอัปเดตอัตโนมัติไว้ ไม่ต้องทำอะไรเพิ่ม |
นอกจากอัปเดต ควรหลีกเลี่ยงการกดโฆษณาหรือเว็บแปลกที่ส่งต่อกันในแชต และสำหรับคนที่มีความเสี่ยงสูง เช่น นักข่าว นักการเมือง หรือผู้ถือคริปโตจำนวนมาก Apple ยังมีโหมดล็อกดาวน์ (Lockdown Mode) ให้เปิดใช้ ส่วนองค์กรที่ต้องตรวจสอบเชิงลึก iVerify เผยแพร่ตัวบ่งชี้การติดเชื้อ (IOC) ไว้ในรายงานฉบับเต็ม เพราะตัวบ่งชี้แบบเก่าใช้กับ P7 ไม่ได้แล้ว
คำถามที่พบบ่อยเกี่ยวกับสปายแวร์ DarkSword
iPhone ที่ใช้ iOS 27 ติด DarkSword ได้ไหม
รายงานของ iVerify อ้างถึง iOS 18.4 ถึง 18.7 และ Apple ปิดช่องโหว่แล้วใน iOS 18.7.7 ผู้ที่อัปเดตเป็นเวอร์ชันล่าสุดจึงไม่อยู่ในกลุ่มเสี่ยงจากช่องโหว่ชุดนี้
รู้ได้อย่างไรว่า iPhone ติดสปายแวร์
ผู้ใช้ทั่วไปตรวจเองได้ยาก เพราะ P7 ลบร่องรอยการทำงาน ทางที่ดีที่สุดคืออัปเดต iOS ทันที ส่วนองค์กรใช้ตัวบ่งชี้ที่ iVerify เผยแพร่ไว้ตรวจได้
ต้องเป็นคนสำคัญถึงจะโดนใช่ไหม
ไม่จำเป็น เพราะ P7 แพร่ผ่านโฆษณาอันตรายบนเว็บ ใครเปิดหน้าเว็บที่ถูกฝังโค้ดด้วยเครื่องที่ยังไม่อัปเดตก็มีโอกาสติดได้
ความคิดเห็น 0
ยังไม่มีความคิดเห็นเป็นคนแรกที่แสดงความคิดเห็นในบทความนี้