Encuentran nuevo software espía en iPhone: llavero, fotos y notas quedan a la vista

Un software espía para iPhone, bautizado como P7 DarkSword, puede acceder a contraseñas guardadas, fotos, notas privadas y datos de monederos de criptomonedas. El hallazgo lo hizo en agosto de 2026 la empresa de seguridad móvil iVerify, durante el análisis de un dispositivo infectado de un cliente. Según el informe publicado en octubre de 2026, se trata de una versión más potente de una familia de malware ya conocida, con mayor capacidad de recopilación de datos y comunicación remota con los atacantes.

¿Cómo llegó P7 DarkSword a manos de delincuentes comunes?

Apple explicó a CyberGuy que esta amenaza se originó en un software espía mercenario, desarrollado con una inversión considerable para operaciones de vigilancia sofisticadas. Una filtración de ese código permitió que delincuentes comunes accedieran a una herramienta que antes estaba reservada a actores con mayores recursos. El nombre P7 corresponde a un prefijo hallado en el código de programación del malware; aunque ese dato técnico resulta irrelevante para el usuario promedio, refleja un cambio real en la capacidad ofensiva del software.

El equipo de iVerify detectó actividad inusual en el dispositivo de un cliente. Con su permiso, examinaron el teléfono y notaron que el software espía se comportaba de forma distinta a variantes anteriores de DarkSword. Para confirmar el alcance de la amenaza, recurrieron a la plataforma de inteligencia de amenazas Validin, que les permitió localizar otra versión del malware alojada en una infraestructura sospechosa. El análisis mostró que los atacantes modificaron el código original para volverlo más potente y más difícil de investigar.

Qué datos personales puede robar el malware

Una vez que logra comprometer un iPhone vulnerable, P7 DarkSword puede extraer datos del llavero del iPhone, el sistema donde se almacenan contraseñas y otras credenciales. Esto genera riesgo de vulneración de cuentas, aunque la investigación no confirma que todas esas contraseñas puedan recuperarse en un formato legible para los atacantes. También tiene capacidad para buscar aplicaciones de monederos de criptomonedas y extraer ciertos datos asociados; los investigadores identificaron una función dirigida específicamente a la aplicación imToken.

Entre sus otras capacidades, el software espía puede recuperar fotografías recientes mediante la base de datos de imágenes del dispositivo, localizar y copiar las bases de datos de la aplicación Notas, e inventariar las aplicaciones instaladas para recuperar archivos seleccionados de su almacenamiento. Para quienes guardan documentos confidenciales o información financiera en su iPhone, la exposición potencial resulta considerable. Estos hallazgos describen capacidades técnicas y no prueban que los atacantes hayan sustraído efectivamente todo ese contenido del dispositivo analizado.

Comunicación constante con los atacantes y cómo se oculta

Uno de los aspectos más preocupantes detectados por iVerify es la frecuencia con la que P7 DarkSword puede contactar a sus operadores. El malware utiliza un sistema de comando y control capaz de verificar si existen nuevas instrucciones cada 15 segundos, un intervalo que los atacantes pueden modificar de forma remota. Esta característica permite que el software espía reciba órdenes adicionales después de la infección inicial, como recopilar archivos específicos o examinar información almacenada en el teléfono.

Los investigadores también comprobaron que el software espía inyecta su componente de comunicación en SpringBoard, el proceso central del sistema iOS responsable de la pantalla de inicio y otras funciones de la interfaz. Junto con esto, los atacantes eliminaron ciertos registros de diagnóstico y redujeron actividades que podrían delatar la infección durante una revisión del dispositivo. iVerify no llegó a confirmar que el malware sea completamente indetectable.

Cómo se infecta el iPhone y qué versiones de iOS están en riesgo

DarkSword está vinculado a una cadena de exploits para iOS que permite comprometer dispositivos vulnerables a través de contenido web malicioso. Según investigadores de seguridad, la variante P7 se distribuye mediante anuncios maliciosos y sitios web comprometidos, un método conocido como ataque “watering hole”. Una persona con un iPhone desactualizado podría infectarse simplemente al navegar por internet, sin advertir que algo fuera de lo común ocurrió en su dispositivo.

Los ataques anteriores de DarkSword apuntaban a celulares iPhone con versiones de iOS 18.4 a iOS 18.7. Mantener actualizado el sistema operativo reduce el riesgo frente a las fallas ya conocidas que utilizó DarkSword en el pasado. La investigación se concentró principalmente en el funcionamiento del malware una vez producida la infección, sin reconstruir de manera completa cómo el cliente afectado entró en contacto con el contenido malicioso.

Con información de Infobae Tecno