Un software espía nuevo copia fotos, notas y contraseñas de un iPhone infectado

Un programa espía detectado en iPhones infectados puede copiarse el llavero de contraseñas, las fotos recientes y las notas privadas del teléfono sin que la víctima note nada raro. Así lo plantearon especialistas de la empresa de seguridad iVerify, que bautizaron a la nueva variante P7 DarkSword, según publicó Infobae.

Para quien guarda documentos confidenciales, información financiera o una billetera de criptomonedas en el iPhone, el dato pesa: ese espionaje apunta justo a lo que más se protege con clave.

Cómo lo encontraron

En agosto de este año, el sistema de monitoreo de iVerify marcó movimientos extraños en el celular de un cliente. Con su autorización, el equipo revisó el aparato y vio que el comportamiento no coincidía con las versiones previas de DarkSword, una familia de software espía ya conocida entre los investigadores. Para confirmar la sospecha recurrieron a Validin, una plataforma que rastrea infraestructura de ataques, y así ubicaron otra copia del programa alojada en un servidor distinto. De ahí sacaron que el código original había sido retocado para ser más potente y más difícil de rastrear.

Apple le explicó a CyberGuy que el origen de DarkSword es un software espía mercenario: una herramienta cara, pensada para vigilancia de alto nivel, que terminó filtrada y hoy queda al alcance de delincuentes comunes.

Qué puede sacar del teléfono

Una vez adentro, P7 DarkSword llega al llavero del iPhone, el lugar donde el sistema guarda contraseñas y otras claves — aunque la investigación no confirma que esos datos salgan en un formato que el atacante pueda leer directamente. También rastrea aplicaciones de billeteras de criptomonedas, con una función puntual para la app imToken, y copia la base de fotos recientes junto con las bases de datos de la app Notas. Además revisa qué otras aplicaciones hay instaladas para sacar archivos puntuales de cada una.

El malware se queda en contacto con sus operadores: consulta si hay instrucciones nuevas cada 15 segundos, un intervalo que los propios atacantes pueden cambiar a distancia. Eso le permite recibir órdenes después de la infección, como pedir archivos concretos. También puede escanear el sistema de archivos del teléfono y correr código JavaScript dentro de su propio entorno de ejecución, además de inyectar su componente de comunicación en SpringBoard, el proceso que maneja la pantalla de inicio de iOS. Junto con eso, borra registros que podrían delatarlo, aunque iVerify no llegó a confirmar que quede completamente indetectable.

Cómo se infecta un iPhone

La vía de entrada ya es conocida: anuncios maliciosos y páginas web comprometidas, la técnica que en seguridad informática se llama "watering hole". Alcanza con navegar en un iPhone desactualizado para infectarse, sin ninguna alerta visible. Por eso la recomendación de siempre vuelve a valer: mantener el sistema operativo al día cierra las puertas que este ataque necesita para entrar.

Las versiones anteriores de DarkSword apuntaban a equipos con iOS 18.4 a iOS 18.7. Apple sostiene que esas fallas se corrigieron en 2025, antes de que el código se filtrara por primera vez, y que en marzo de este año sumó una actualización extra para los modelos que no pueden instalar las versiones más nuevas. Según la compañía, los celulares que tengan puesta la última actualización disponible —desde iOS 15 hasta iOS 27, la versión principal vigente en octubre de 2026— quedan protegidos frente a las fallas conocidas de DarkSword. En el análisis más reciente de P7, los investigadores encontraron piezas de explotación ligadas a iOS 18.7, pero no probaron que el malware pueda vulnerar un teléfono totalmente actualizado.

La lección práctica no cambia con cada variante nueva de software espía: revisar que el iPhone tenga la actualización más reciente sigue siendo la barrera más simple contra este tipo de ataque.