구글에서 선호하는 출처로 추가
아이폰 P7 다크소드, 15초마다 서버 명령 확인
정민석 기자
토포AI로 이 기사 더 깊이 읽기
감염된 아이폰에서 지갑 앱과 애플 키체인 정보를 수집하는 스파이웨어 변종이 발견됐다. 이 변종은 공격자 서버에 새 명령을 기본 15초 간격으로 요청하지만, 지갑 정보를 15초마다 훔친다는 뜻은 아니다.
모바일 보안업체 아이베리파이(iVerify)는 2026년 8월 고객 기기에서 발견한 다크소드(DarkSword) 변종을 ‘P7 다크소드’라고 이름 붙였다. 아이베리파이는 10월 8일 공개한 기술 분석에서 P7에 설치된 지갑 앱을 확인하는 ‘wallet_scan’과 imToken 관련 데이터를 추출하는 ‘wallet_extract’ 명령이 포함됐다고 밝혔다.
P7은 애플 키체인 정보도 기기 안에서 JSON 파일로 정리해 전송할 수 있다. 사진과 메모 데이터베이스, 앱 파일도 공격자가 수집 대상으로 지정할 수 있다.
15초는 지갑 데이터 추출 주기가 아니라 감염 기기가 공격자 서버에 새 작업을 요청하는 기본 간격이다. 서버는 요청에 응답해 파일 검색이나 전송 명령을 내릴 수 있으며, 이 간격은 원격에서 바꿀 수 있다.
아이베리파이가 확인한 기능은 지갑 앱 검색과 imToken 데이터 추출이다. 보고서는 피해 규모나 실제 가상자산 도난 사례를 공개하지 않았으며, 지갑 파일을 확보하는 것만으로 개인 키를 얻거나 거래를 승인할 수 있는지도 밝히지 않았다.
P7은 다크소드 공격으로 기기가 감염된 뒤 작동하는 스파이웨어 단계의 변화를 보여준다. 아이베리파이는 P7이 일부 진단 로그와 프로세스 주입을 줄였다고 설명했다. 새 iOS 취약점이 발견됐다는 뜻은 아니며, 최신 보안 업데이트를 우회하는지도 분석에서 확인되지 않았다.
구글 위협정보그룹(Google Threat Intelligence Group)은 2026년 3월 공개한 분석에서 다크소드가 iOS 18.4~18.7의 여러 취약점을 이용했다고 밝혔다. 관련 활동은 2025년 11월부터 사우디아라비아, 튀르키예, 말레이시아, 우크라이나에서 관찰됐으며, 공격 체인에 쓰인 취약점은 iOS 26.3 출시 전에 대부분 수정됐다고 설명했다.
애플은 iOS 18.7.7 보안 안내에서 다크소드 웹 공격에 대한 보호 기능을 2026년 4월 1일부터 더 많은 기기에 제공했다고 밝혔다. 이번 분석은 감염 뒤 지갑 앱뿐 아니라 키체인과 메모, 앱 데이터도 수집 대상이 될 수 있음을 보여준다.
이번 변종은 다크소드 공격 체인의 기존 취약점 악용 사례와 구분되는 감염 후 단계의 분석이다. 아이베리파이가 공개한 내용에는 P7의 감염 규모와 실제 피해 사례가 포함되지 않았다.
처음 언급된 지갑은 가상자산을 보관하고 거래에 사용하는 앱이나 도구를 가리킨다.
댓글 0
불러오는 중…