El ecosistema del iPhone no es un fortín cerrado. La compañía de seguridad iVerify ha publicado un informe sobre P7 DarkSword, una variante del kit DarkSword que apunta directamente al sistema operativo de Apple y que añade dos objetivos que hasta ahora no aparecían con tanta claridad: los datos guardados en el llavero del sistema y la información ligada a monederos de criptomonedas. El asunto ha saltado a la prensa especializada internacional por lo delicado del material que puede quedar al descubierto.
El punto de partida no es un laboratorio, sino un caso real. Los investigadores llegaron a esta muestra mientras analizando una infección detectada en agosto de 2026 en el teléfono de una persona que trabajaba en una entidad financiera. A partir de ahí, el equipo fue desmontando el comportamiento del código y comprobando que no se parecía del todo a lo que habían visto antes.
Qué es P7 DarkSword y por qué se llama así
El nombre no es un capricho comercial. Los analistas lo escogieron al toparse con el prefijo p7_ repetido en distintas variables del código modificado respecto al DarkSword original. Es decir, la etiqueta sirve para identificar al operador que ha retocado la herramienta, no tanto al programa en sí.
Conviene aclarar algo que suele liarse en las conversaciones: P7 no es una vulnerabilidad nueva de iOS. Se trata de un implante que se despliega después de un compromiso previo a través de la cadena de explotación DarkSword. Dicho de otro modo, la puerta de entrada sigue siendo la de antes; lo que cambia es lo que los atacantes hacen una vez dentro. Por eso el informe no habla de un fallo recién descubierto, sino de una evolución del software malicioso que se instala cuando ya se ha superado la barrera inicial.
El análisis describe mejoras en tres frentes: pasar más desapercibido, resultar más estable y sacar más partido al dispositivo infectado. La muestra reduce el registro de actividad y las inyecciones en procesos, y recurre al almacenamiento del navegador para no volver a explotar el mismo teléfono, lo que rebaja el ruido y complica que salten las alertas de los sistemas de vigilancia.
Del caso Coruna a DarkSword: el contexto que explica la amenaza
Para entender el alcance de P7 hay que mirar atrás. A lo largo del año, Google e iVerify sacaron a la luz dos herramientas de hackeo para iPhone, conocidas como Coruna y DarkSword, que encadenaban varias fallas del sistema para actuar sobre equipos con versiones antiguas del software. Cada una tenía su propio radio de acción:
- Coruna: apuntaba a terminales que ejecutaban desde iOS 13 hasta iOS 17.2.1.
- DarkSword: se centraba en equipos con iOS 18.4 hasta iOS 18.7.
- P7 DarkSword: amplía su compatibilidad hasta iOS 18.7, frente al 18.6 que cubría la versión anterior que seguía la compañía.
Tras conocerse aquellas campañas, Apple publicó actualizaciones para las ramas más antiguas del sistema, entre ellas iOS 15.8.7, iOS 16.7.15 e iOS 18.7.7. El detalle llamativo fue que la firma de Cupertino puso la última de esas versiones al alcance de equipos capaces de instalar una versión más moderna del sistema operativo, una decisión poco habitual pensada para quienes prefieren no dar el salto y seguir protegidos igualmente.
Sobre el uso que se dio a DarkSword, Google apuntó a varios proveedores comerciales de vigilancia y a actores presuntamente vinculados a Estados. Los blancos observados se situaron en Arabia Saudí, Turquía, Malasia y Ucrania, un mapa que da idea de que no hablamos de un fenómeno localizado ni de un experimento de salón.
Llavero, carteras y control remoto: qué hace el implante
La diferencia más relevante respecto a versiones previas está en la forma de tratar el llavero. En lugar de copiar la base de datos completa y mandarla fuera para procesarla, P7 convierte los datos en JSON dentro del propio teléfono antes de enviarlos. Menos volumen, menos pistas y menos posibilidades de que un sistema de defensa detecte el movimiento a tiempo.
El abanico de tareas que puede ejecutar es amplio. Entre las funciones documentadas aparecen la recopilación de información del aparato y de las aplicaciones instaladas, la búsqueda de archivos y fotografías, la revisión del sistema de ficheros y el acceso al contenido de Notas. En el apartado de monederos digitales hay dos rutinas destacadas: wallet_scan, que localiza aplicaciones instaladas, y wallet_extract, un controlador pensado para extraer datos de imToken. Que exista esa capacidad no significa que se haya usado en cada infección, pero sí marca por dónde puede ir el daño.
La comunicación con la infraestructura de los atacantes funciona en los dos sentidos. La muestra consulta si hay órdenes nuevas cada 15 segundos por defecto, aunque ese intervalo puede modificarse a distancia. Gracias a ese canal de mando y control, los responsables del ataque pueden pedir archivos concretos, subir fotos, listar aplicaciones instaladas o recopilar información de contenedores de apps, además de escanear el sistema de archivos del teléfono.
Los responsables de iVerify sostienen que estos cambios responden a un trabajo de desarrollo serio y no a retoques menores hechos con ayuda de inteligencia artificial. El resultado es un implante que borra mejor sus huellas y que invalida buena parte de los indicadores de compromiso anteriores, lo que complica la detección a los equipos de seguridad que se apoyaban en las señales clásicas de DarkSword.
Malvertising y watering holes: cómo llega a los dispositivos
El vector de entrada también ha cambiado. Lejos de escoger víctimas una por una, el grupo detrás de P7 reparte el malware mediante publicidad maliciosa y campañas de tipo watering hole, esas en las que se compromete una web que un colectivo concreto suele visitar. Basta con topar con el contenido envenenado para exponerse al ataque, sin que nadie te haya señalado personalmente. Es la diferencia entre un francotirador y una red de pesca.
Eso sí, el riesgo no es igual para todo el mundo. Depende de la versión de iOS instalada, de si el equipo ha recibido los parches correspondientes y de si ha entrado en contacto con ese tipo de contenido. Los usuarios que mantienen el sistema al día parten con ventaja, aunque nadie debería dar por hecho que está a salvo sin comprobar antes si tiene actualizaciones pendientes. Y ojo con fiarse del aspecto de una página: un diseño cuidado no garantiza que esté limpia.
Qué conviene hacer si tienes un iPhone
Las recomendaciones que repiten los analistas no son ninguna novedad, pero siguen siendo el mejor cortafuegos disponible:
- Instalar las actualizaciones de iOS disponibles, incluidas las que Apple publica para ramas antiguas del sistema, que a veces se pasan por alto.
- Desconfiar de enlaces y anuncios que aparecen en sitios poco fiables o que piden descargar archivos o introducir datos personales.
- Activar la verificación en dos pasos y usar contraseñas distintas y robustas en las cuentas importantes.
- Mantener los monederos de criptomonedas separados del dispositivo de uso diario, tanto en el móvil como en la tablet con la que se trabaja.
- Revisar movimientos raros en las cuentas y, ante la duda, asegurarlas primero desde un aparato de confianza y buscar asesoramiento profesional.
En el ámbito europeo, y en particular en España, la recomendación es la misma que se repite desde hace años, aunque ahora con más motivo: tratar el móvil como lo que es, un equipo que guarda credenciales, tokens de acceso y datos bancarios. No hay indicios que sitúen a nuestro país en el punto de mira de esta campaña concreta, pero las técnicas descritas se han empleado antes contra objetivos muy variados, así que la cautela no sobra.
Todo este asunto deja una foto bastante clara: la cadena DarkSword no se ha quedado quieta y ahora cuenta con una versión más discreta, capaz de sacar partido al llavero y a los monederos digitales sin llamar demasiado la atención. Lo que se sabe procede del análisis de una infección real detectada en agosto de 2026 y de la muestra estudiada por iVerify, de modo que conviene tomarlo como una capacidad del código y no como la certeza de que todos los equipos afectados hayan perdido datos. La defensa sigue siendo la de siempre, aunque no por repetida resulte menos eficaz: sistema al día, precaución con lo que se abre y se pincha, y la cartera de criptomonedas bien lejos del teléfono con el que se trabaja a diario.
