BlogDarkSword: Chuỗi Khai Thác iOS Zero-Day Bị Nhiều Nhóm Tấn Công Lợi Dụng

Tổng quan

Vào giữa tháng 3/2026, nhóm Google Threat Intelligence Group (GTIG) đã công bố một báo cáo chi tiết về một chuỗi khai thác (exploit chain) hoàn chỉnh nhắm vào iOS, được đặt tên là DarkSword dựa trên các dấu vết để lại trong payload thu hồi được. Đây là chuỗi tấn công cho phép kẻ tấn công chiếm quyền kiểm soát toàn bộ thiết bị iPhone chỉ bằng cách dụ nạn nhân truy cập một trang web độc hại — không cần bất kỳ thao tác cài đặt ứng dụng hay nhấp vào tệp đính kèm nào.

Điều đáng chú ý nhất trong báo cáo không phải bản thân kỹ thuật khai thác, mà là mức độ lan rộng của nó: kể từ ít nhất tháng 11/2025, GTIG đã ghi nhận nhiều bên khai thác DarkSword hoàn toàn độc lập với nhau — từ các hãng giám sát thương mại (commercial surveillance vendor) cho tới các nhóm gián điệp được cho là có liên hệ nhà nước. Các chiến dịch này đã nhắm vào người dùng tại Ả Rập Xê Út, Thổ Nhĩ Kỳ, Malaysia và Ukraine.

DarkSword hỗ trợ khai thác các phiên bản iOS từ 18.4 đến 18.7, sử dụng tổng cộng sáu lỗ hổng bảo mật khác nhau để triển khai payload cuối cùng với đặc quyền kernel đầy đủ. GTIG xác định có ba họ mã độc riêng biệt được cài đặt sau khi khai thác DarkSword thành công: GHOSTBLADE, GHOSTKNIFE, và GHOSTSABER. Việc một chuỗi khai thác duy nhất bị nhiều nhóm khác nhau sử dụng gợi nhớ đến trường hợp tương tự trước đó với bộ công cụ khai thác iOS mang tên Coruna.

Toàn bộ lỗ hổng được GTIG báo cáo cho Apple vào cuối năm 2025 và đã được vá trong bản iOS 26.3 (phần lớn được vá từ trước đó). Google cũng đã bổ sung các tên miền liên quan đến việc phát tán DarkSword vào Safe Browsing, đồng thời khuyến nghị người dùng cập nhật iOS lên phiên bản mới nhất; trong trường hợp không thể cập nhật ngay, nên bật chế độ Lockdown Mode để tăng cường bảo vệ. Nghiên cứu này được thực hiện phối hợp cùng các đối tác Lookout và iVerify.

Dòng thời gian phát hiện

GTIG đã xác định nhiều đối tượng khác nhau sử dụng DarkSword từ tháng 11/2025, và đánh giá rằng có thể còn những hãng giám sát thương mại hoặc nhóm tấn công khác cũng đang âm thầm sử dụng chuỗi khai thác này mà chưa bị phát hiện.

UNC6748 nhắm vào người dùng Ả Rập Xê Út qua trang giả mạo Snapchat

Đầu tháng 11/2025, GTIG phát hiện nhóm có mã định danh UNC6748 sử dụng một trang web giả mạo giao diện Snapchat để nhắm vào người dùng tại Ả Rập Xê Út. Trang đích chứa mã JavaScript được làm rối (obfuscate) theo nhiều kỹ thuật, tạo ra một khung IFrame ẩn để tải tiếp các giai đoạn khai thác kế tiếp. Trang này còn thiết lập một khóa lưu trong session storage nhằm tránh lây nhiễm lại cùng một nạn nhân, đồng thời chuyển hướng nạn nhân sang trang Snapchat thật sau khi hoàn tất để che giấu dấu vết.

Qua nhiều lần quan sát trong tháng 11/2025, GTIG ghi nhận UNC6748 liên tục cập nhật hạ tầng: từ chỉ hỗ trợ một khai thác thực thi mã từ xa (RCE) ban đầu (dựa trên lỗ hổng CVE-2025-31277 trong JavaScriptCore, kết hợp với CVE-2026-20700 — một lỗi bỏ qua cơ chế Pointer Authentication Code trong dyld), cho đến khi bổ sung thêm hỗ trợ cho các phiên bản iOS 18.6 và 18.7 (dựa trên lỗ hổng CVE-2025-43529). Đáng chú ý, một số phiên bản mã nguồn có lỗi logic khi xác định phiên bản iOS của nạn nhân, cho thấy có thể phần code này được viết từ trước rồi mới được nhóm UNC6748 tiếp nhận và triển khai. Payload cuối cùng mà UNC6748 sử dụng là backdoor GHOSTKNIFE.

PARS Defense: chiến dịch tại Thổ Nhĩ Kỳ và Malaysia

Cuối tháng 11/2025, GTIG ghi nhận hãng giám sát thương mại Thổ Nhĩ Kỳ PARS Defense sử dụng DarkSword để nhắm vào mục tiêu trong nước, hỗ trợ đầy đủ các phiên bản iOS 18.4–18.7. So với UNC6748, chiến dịch của PARS Defense được thực hiện với mức độ chú trọng an toàn vận hành (OPSEC) cao hơn: mã tải khai thác và một số giai đoạn được làm rối kỹ hơn, đồng thời sử dụng mã hóa ECDH kết hợp AES giữa máy chủ và nạn nhân.

Đến tháng 1/2026, GTIG tiếp tục phát hiện một khách hàng khác của PARS Defense triển khai chiến dịch tương tự nhắm vào người dùng Malaysia, với bộ tải khai thác được bổ sung thêm nhiều lớp kiểm tra dấu vân tay thiết bị (device fingerprinting). Ở các trường hợp thu thập được, payload cuối cùng là một backdoor khác mang tên GHOSTSABER.

UNC6353 và chiến dịch watering hole nhắm vào Ukraine

GTIG cũng ghi nhận nhóm gián điệp bị tình nghi có liên hệ với Nga, UNC6353 — vốn đã được biết đến từ mùa hè 2025 với các cuộc tấn công kiểu “watering hole” nhắm vào các trang web Ukraine để phát tán bộ công cụ Coruna — nay đã chuyển sang sử dụng DarkSword. Hoạt động này được ghi nhận hoạt động liên tục tới tháng 3/2026 nhưng có dấu vết từ ít nhất tháng 12/2025, với payload cuối cùng là mã độc GHOSTBLADE. GTIG đã thông báo và phối hợp với CERT-UA để giảm thiểu thiệt hại từ chiến dịch này.

Các trang web Ukraine bị xâm nhập được chèn thêm một đoạn mã độc để tải giai đoạn phát tán đầu tiên từ máy chủ do UNC6353 kiểm soát. Điều thú vị là mã nguồn của UNC6353 có chứa một dòng chú thích viết bằng tiếng Nga, cho thấy khả năng lập trình viên chưa chắc chắn liệu logic kiểm tra phiên (session check) kế thừa từ nhà phát triển DarkSword có thực sự cần thiết hay không — một chi tiết gợi ý rằng nhiều phần khung sườn của DarkSword được các “khách hàng” khác nhau tái sử dụng gần như nguyên bản, chỉ chỉnh sửa những phần nhỏ cho phù hợp với nhu cầu riêng.

Bên trong chuỗi khai thác DarkSword

DarkSword sử dụng tổng cộng sáu lỗ hổng khác nhau để đi từ việc thực thi mã trong trình duyệt cho tới toàn quyền kiểm soát nhân hệ điều hành (kernel). Khác với Coruna, DarkSword chỉ hỗ trợ một dải phiên bản iOS hẹp hơn (18.4–18.7), và dù các kỹ thuật khai thác riêng lẻ khá tinh vi, cơ chế nạp và quản lý các giai đoạn khai thác lại đơn giản, kém chặt chẽ hơn Coruna. Một điểm khác biệt lớn là DarkSword chỉ dùng thuần JavaScript cho toàn bộ các giai đoạn, giúp kẻ tấn công tránh phải tìm cách vượt qua các cơ chế bảo vệ bộ nhớ cấp thấp của Apple như Page Protection Layer (PPL) hay Secure Page Table Monitor (SPTM) vốn ngăn chặn việc thực thi mã nhị phân không có chữ ký hợp lệ.

Sáu lỗ hổng được sử dụng bao gồm:

Chuỗi khai thác vận hành theo trình tự bốn giai đoạn chính:

1. Thực thi mã từ xa (RCE) qua JavaScriptCore: Tùy phiên bản iOS của nạn nhân, DarkSword khai thác CVE-2025-31277 (cho iOS trước 18.6) hoặc CVE-2025-43529 (cho iOS 18.6–18.7) để giành quyền thực thi mã tùy ý bên trong tiến trình Safari, sau đó chuỗi khai thác này luôn tiếp tục bằng CVE-2026-20700 để vượt qua cơ chế PAC ở chế độ người dùng.
2. Thoát khỏi sandbox WebContent: Trình duyệt Safari cô lập tiến trình xử lý nội dung web (WebContent) trong một sandbox chặt để hạn chế thiệt hại nếu bị khai thác. DarkSword sử dụng CVE-2025-14174 — một lỗi kiểm tra tham số không đầy đủ trong thư viện đồ họa ANGLE — để nhảy từ sandbox WebContent sang tiến trình xử lý GPU của Safari.
3. Thoát khỏi sandbox GPU: Từ tiến trình GPU (vẫn còn bị giới hạn quyền), DarkSword tiếp tục khai thác CVE-2025-43510, một lỗi copy-on-write trong nhân XNU, để xây dựng khả năng gọi hàm tùy ý trong dịch vụ hệ thống mediaplaybackd — vốn có nhiều quyền hơn hẳn tiến trình GPU của Safari.
4. Leo thang đặc quyền cục bộ: Cuối cùng, DarkSword nạp module khai thác CVE-2025-43520 — một race condition trong tầng hệ thống tệp ảo (VFS) của nhân XNU — để xây dựng khả năng đọc/ghi bộ nhớ vật lý và ảo, qua đó giành quyền kernel đầy đủ và triển khai payload cuối cùng.

Ba họ mã độc được triển khai sau khi khai thác thành công

GHOSTKNIFE (do UNC6748 sử dụng) là một backdoor viết bằng JavaScript với nhiều module thu thập dữ liệu khác nhau: tài khoản đã đăng nhập, tin nhắn, dữ liệu trình duyệt, lịch sử vị trí và các bản ghi âm. Nó còn hỗ trợ tải tệp từ máy chủ điều khiển (C2), chụp ảnh màn hình và ghi âm qua micro thiết bị. GHOSTKNIFE giao tiếp với C2 qua một giao thức nhị phân tùy chỉnh trên nền HTTP, được mã hóa dựa trên ECDH và AES, đồng thời có cơ chế tự xóa nhật ký sự cố (crash log) để xóa dấu vết.

GHOSTSABER (do PARS Defense sử dụng) cũng là backdoor JavaScript giao tiếp qua HTTP(S), hỗ trợ liệt kê thiết bị/tài khoản, liệt kê tệp, truy xuất dữ liệu và thực thi mã JavaScript tùy ý. Đáng chú ý, một số lệnh được cài sẵn trong mã (như ghi âm micro hay gửi vị trí GPS) hiện chưa có phần code thực thi tương ứng — GTIG suy đoán rằng có thể một module nhị phân bổ sung sẽ được tải về từ C2 để hoàn thiện các chức năng này trong tương lai.

GHOSTBLADE (do UNC6353 sử dụng) là một công cụ thu thập dữ liệu (datamine) phạm vi rất rộng: dữ liệu iMessage, Telegram, WhatsApp, danh bạ, lịch sử vị trí, mạng WiFi đã lưu, keychain thiết bị, ảnh (kể cả ảnh ẩn), ghi chú, lịch, dữ liệu ví tiền mã hóa, lịch sử Safari, dữ liệu sức khỏe và danh sách ứng dụng đã cài. Không giống hai backdoor còn lại, GHOSTBLADE không hoạt động liên tục và không hỗ trợ module mở rộng — nó thực hiện thu thập dữ liệu một lần rồi thoát. GTIG đánh giá rằng GHOSTBLADE nhiều khả năng do chính đội ngũ phát triển DarkSword viết, dựa trên sự tương đồng phong cách lập trình và mức độ tích hợp chặt chẽ với các thư viện lõi của chuỗi khai thác.

So sánh với Coruna và ý nghĩa rộng hơn

Việc cả DarkSword lẫn Coruna đều bị nhiều nhóm khác nhau — từ nhiều quốc gia, với động cơ khác nhau — sử dụng cho thấy rủi ro ngày càng lớn về hiện tượng “lan truyền công cụ khai thác” (exploit proliferation) trong ngành công nghiệp giám sát thương mại (spyware). Một khi một chuỗi khai thác zero-day hoàn chỉnh được phát triển, nó có thể được bán, chia sẻ hoặc rò rỉ cho nhiều bên sử dụng với mục đích hoàn toàn khác nhau, khiến việc quy trách nhiệm và ngăn chặn trở nên khó khăn hơn nhiều.

Google cho biết vẫn đang tích cực tham gia sáng kiến quốc tế Pall Mall Process — một nỗ lực nhằm xây dựng đồng thuận toàn cầu để hạn chế các tác hại từ ngành công nghiệp phần mềm gián điệp thương mại, tiếp nối các bước đi trước đó từ chính phủ Hoa Kỳ và các cam kết quốc tế khác nhằm bảo vệ quyền con người trước các công nghệ giám sát xâm lấn này.

Khuyến nghị bảo mật cho người dùng

• Cập nhật iOS ngay lập tức lên phiên bản mới nhất (từ iOS 26.3 trở lên), vì toàn bộ sáu lỗ hổng trong DarkSword đã được Apple vá.
• Nếu thuộc nhóm có nguy cơ cao bị nhắm mục tiêu (nhà báo, nhà hoạt động nhân quyền, quan chức chính phủ…) và chưa thể cập nhật ngay, nên bật chế độ Lockdown Mode trên thiết bị để giảm đáng kể bề mặt tấn công.
• Cẩn trọng với các đường link lạ, đặc biệt là các trang web giả mạo thương hiệu quen thuộc (như trường hợp giả mạo Snapchat) được gửi qua tin nhắn hoặc mạng xã hội.
• Các đội ngũ bảo mật doanh nghiệp nên tham khảo danh sách chỉ dấu xâm nhập (IOC) và bộ quy tắc YARA mà GTIG đã công bố kèm báo cáo gốc để rà soát hệ thống.

Chỉ dấu xâm nhập (IOC) và công cụ phát hiện

GTIG đã công bố đầy đủ các chỉ dấu mạng liên quan đến ba nhóm tấn công (tên miền và địa chỉ IP máy chủ C2 của UNC6748, PARS Defense và UNC6353), một mẫu GHOSTBLADE đã trích xuất được tải lên VirusTotal, cùng bốn bộ quy tắc YARA dùng để phát hiện GHOSTKNIFE, GHOSTSABER, GHOSTBLADE và các dấu vết đường dẫn tệp thư viện dùng chung của chuỗi khai thác. Đội ngũ bảo mật quan tâm nên truy cập trực tiếp báo cáo gốc của GTIG hoặc bộ sưu tập trên VirusTotal để lấy đầy đủ các chỉ dấu và quy tắc phát hiện chính xác, phục vụ cho việc rà soát và giám sát hệ thống của mình.

Kết luận

DarkSword là minh chứng mới nhất cho thấy hệ sinh thái phần mềm gián điệp thương mại đang phát triển với tốc độ và quy mô đáng lo ngại: một chuỗi khai thác zero-day duy nhất, một khi đã tồn tại, có thể nhanh chóng lan sang tay nhiều bên sử dụng khác nhau trên toàn cầu — từ hãng giám sát tư nhân đến các nhóm được cho là có hậu thuẫn nhà nước — nhắm vào những mục tiêu ở nhiều khu vực địa lý khác nhau chỉ trong vài tháng. Đối với người dùng phổ thông, bài học quan trọng nhất vẫn là: luôn cập nhật thiết bị lên phiên bản hệ điều hành mới nhất và cân nhắc kích hoạt các chế độ bảo vệ nâng cao nếu bản thân thuộc nhóm có nguy cơ bị nhắm mục tiêu cao.

Bài viết này được biên soạn dựa trên báo cáo gốc “The Proliferation of DarkSword: iOS Exploit Chain Adopted by Multiple Threat Actors” của Google Threat Intelligence Group, công bố ngày 18/3/2026 trên Google Cloud Blog.