DarkSword P7: iPhone-spyware går efter telefoner på iOS 18

DarkSword P7 er en ny og mere diskret udgave af den iPhone-spyware, der i foråret fik Apple til at sende ekstra sikkerhedsopdateringer ud til ældre telefoner. Sikkerhedsfirmaet iVerify offentliggjorde sin analyse 8. oktober 2026, efter at firmaet i august fandt varianten på en kundes iPhone.

Det vigtigste først, fordi det er her, mange overskrifter går galt: P7 er ikke et nyt hul i iOS. Det er en videreudvikling af et angrebsværktøj, der udnytter sårbarheder i iOS 18, som Apple allerede har rettet. Kører din iPhone en opdateret version, er der intet i iVerifys rapport, der tyder på, at du er udsat. Problemet er de telefoner, der står stille på en gammel iOS 18-version — og dem er der en del af i Danmark, fordi iPhone XS og XR ikke kan komme videre end iOS 18.

Hvad iVerify har fundet

Ifølge iVerifys rapport begyndte sagen med en alarm om en DarkSword-infektion på en kundes telefon i august 2026. Kunden gav lov til en nærmere undersøgelse, og forskerne fandt mistænkelige filer oprettet omkring infektionstidspunktet. Ud fra dem kunne de spore sig frem til en hidtil ukendt variant.

Navnet P7 er forskernes eget. Det stammer fra præfikset p7_, som bagmændene har brugt på de variabler, de har tilføjet til den oprindelige DarkSword-kode. iVerify fremhæver tre typer ændringer:

Det sidste punkt er det mest håndgribelige. Hvor tidligere udgaver kopierede selve nøgleringsdatabasen, læser P7 indholdet ud på telefonen først. Nøgleringen er det sted, iPhone gemmer adgangskoder, wi-fi-koder og loginnøgler til apps.

Derudover kan spywaren ifølge rapporten hente Noter-databaser, gennemgå og kopiere billeder, lave en liste over installerede apps, hente og sende vilkårlige filer og køre kommandoer. Den spørger som standard bagmændenes server om nye opgaver hvert 15. sekund, og intervallet kan ændres udefra.

Kryptopunge: Hvad rapporten siger, og hvad den ikke siger

Flere medier har skrevet, at P7 stjæler kryptopunge. Det er mere, end kilden dækker.

iVerify beskriver en kommando, wallet_scan, der undersøger, hvilke wallet-apps der er installeret på telefonen, og en kommando, wallet_extract, der skal trække data ud. Men den sidste har kun en færdig håndtering af én app: imToken. Listen med Coinbase, MetaMask, Ledger og andre, som cirkulerer i omtalen, stammer fra beskrivelserne af den oprindelige DarkSword fra marts — ikke fra P7-rapporten.

iVerify dokumenterer heller ikke, at der rent faktisk er blevet stjålet kryptovaluta fra nogen. Det, der er påvist, er, at funktionen findes i koden. Det er alvorligt nok i sig selv, men det er noget andet end et bekræftet tyveri.

Hvordan kommer den ind?

Her er det vigtigt at skelne mellem kilderne. iVerifys rapport oplyser ikke, hvordan telefonen blev inficeret, og den nævner hverken konkrete CVE-numre eller Apples rettelser.

Det gør 9to5Mac, som skriver, at offeret var ansat i en finansiel institution, og at P7 spredes gennem ondsindede annoncer som led i såkaldte watering hole-angreb — altså ved at ramme besøgende på bestemte hjemmesider frem for at sende en besked til en udvalgt person. Ofrene ser ifølge mediet ikke ud til at være udpeget enkeltvis. Samme artikel oplyser, at den oprindelige DarkSword ramte iOS 18.4 til 18.7, og at P7 udvider understøttelsen fra 18.6 til 18.7. Det stemmer med, at iVerify har fundet et modul med navnet rce_module_18.7.js.

Den praktiske konsekvens er, at et angreb af denne type ikke kræver, at du trykker på et link i en mistænkelig sms. Det er derfor, opdateringen er det eneste, der for alvor betyder noget.

Apples rettelser: Det er de her versioner, der tæller

Vi har slået rettelserne op hos Apple selv. Af Apples sikkerhedsnote til iOS 18.7.7 fremgår det, at:

• iOS 18.7.7 udkom 24. marts 2026 til iPhone XS, XS Max og XR.
• Apple 1. april 2026 udvidede tilgængeligheden til flere enheder — iPhone 11 til og med iPhone 16e — så brugere med automatiske opdateringer slået til kunne få, som Apple formulerer det, "vigtige sikkerhedsbeskyttelser mod webangreb kaldet DarkSword".
• Rettelserne forbundet med DarkSword-udnyttelsen ifølge Apple "først blev udsendt i 2025". iOS 18.7.7 bragte dem altså ud til telefoner, der ikke havde fået dem.

Til endnu ældre telefoner udsendte Apple iOS 16.7.15 (iPhone 8, 8 Plus og X) og iOS 15.8.7 (iPhone 6s, iPhone 7 og første iPhone SE) den 11. marts 2026. Det er 9to5Mac, der knytter de to versioner til DarkSword; datoerne og modellerne har vi fra Apples oversigt over sikkerhedsopdateringer.

Siden er der kommet nyere versioner, og det er dem, du skal sigte efter:

Har du iPhone 11 eller nyere og er blevet på iOS 18? Læs det her

Der er en detalje i Apples oversigt, som er værd at kende. Det følgende er vores egen aflæsning af listen, ikke en udmelding fra Apple.

Den seneste iOS 18-opdatering, der er udsendt til iPhone 11 og nyere, er iOS 18.7.8 fra 22. april 2026. De to efterfølgende, 18.7.9 og 18.7.10, står kun opført til iPhone XS, XS Max og XR. Har du en iPhone 11 eller nyere og har valgt at blive på iOS 18, fordi du ikke brød dig om iOS 26, har du med andre ord ikke fået en sikkerhedsopdatering i knap et halvt år. For de telefoner går vejen til aktuelle rettelser gennem iOS 26 eller iOS 27. Vær opmærksom på, at springet ikke kan fortrydes — vi har tidligere gennemgået, hvorfor du ikke kan gå tilbage fra iOS 27.

Sådan tjekker du din version

Fremgangsmåden står i Apples danske vejledning Opdater din iPhone eller iPad:

1. Åbn Indstillinger.
2. Tryk på Generelt.
3. Tryk på Softwareopdatering. Her står den version, telefonen kører, og om der ligger en nyere klar.
4. Tryk på Automatiske opdateringer, og sørg for, at Installer automatisk er slået til.

Står der en version under iOS 18.7.7, mangler telefonen som minimum den opdatering, Apple selv nævner i forbindelse med DarkSword. Opdater med det samme — og gå efter den nyeste version i tabellen ovenfor, ikke kun 18.7.7.

Du kan ikke selv se, om en telefon har været ramt. Sporene, iVerify beskriver, ligger i systemmapper, en almindelig bruger ikke har adgang til. Har du kørt en gammel iOS 18-version i længere tid og har grund til bekymring — for eksempel fordi du har kryptovaluta eller arbejdsadgange liggende på telefonen — er vores råd at opdatere først og derefter skifte de vigtigste adgangskoder. Det er redaktionens anbefaling ud fra, hvad spywaren kan hente; iVerifys rapport indeholder ingen vejledning til brugere.

Apple har også en ekstra beskyttelse til særligt udsatte brugere, Nedlukningstilstand, som findes under Indstillinger → Anonymitet & sikkerhed. Hverken iVerify eller 9to5Mac nævner den i forbindelse med P7, så vi kan ikke sige, om den ville have stoppet dette angreb.

Hvad er nyt i forhold til foråret?

DarkSword er ikke ukendt for danske læsere. recordere.dk skrev om det oprindelige værktøj i marts 2026, og meremobil.dk omtalte Apples opdatering til ældre modeller i april. Det nye i denne omgang er tre ting:

• Værktøjet bliver aktivt vedligeholdt. iVerify beskriver P7 som bevidste, målrettede ændringer og ikke en tilfældig kopi.
• Det er blevet sværere at opdage. Ifølge 9to5Mac gælder de tidligere kendetegn, sikkerhedsfolk ledte efter, ikke længere.
• Det bliver brugt nu, et halvt år efter at rettelserne kom. Det kan kun betale sig, hvis der stadig er nok uopdaterede telefoner derude.

For ejere af iPhone XS og XR kommer det oven i en anden sag fra i år, den upatchbare BootROM-fejl i A12- og A13-chips. De to ting er ikke de samme: BootROM-fejlen sidder i chippen og kræver fysisk adgang til telefonen, mens DarkSword rammer over nettet og kan lukkes med en opdatering. Men de peger samme vej — de ældste iPhones, der stadig er i brug, er dem, angribere har mest ud af at gå efter. At nøgleringen er et yndet mål, har vi også set på Mac i ClickFix-kampagnen mod kryptopunge og Keychain.

Konklusion

DarkSword P7 ændrer ikke på, hvad du skal gøre, men det ændrer på, hvor meget det haster. Rettelserne har ligget klar siden marts, og de nyeste versioner er endnu nyere. Den, der har opdateret, er efter alt, hvad kilderne viser, dækket mod de huller, værktøjet bruger.

Det næste, der er værd at holde øje med, er, hvor længe Apple fortsætter med at sende iOS 18-opdateringer til iPhone XS og XR. Den seneste er fra august. Når de stopper, er der ingen rettelser at hente, næste gang et værktøj som dette bliver udvidet — og på nyere iPhones viste CoreGraphics-hullet i iOS 26 i september, at opdateringer heller ikke dér er noget, man kan udskyde.