Encuentran nuevo software espía en iPhone: llavero, fotos y notas quedan a la vista

Un nuevo software espía para iPhone, identificado como P7 DarkSword, puede acceder a contraseñas guardadas, fotos, notas privadas y datos de monederos de criptomonedas, según un informe publicado en octubre de 2026 por investigadores de la empresa de seguridad móvil iVerify.

El hallazgo surgió durante el análisis de un dispositivo infectado, y reveló una versión más agresiva de una familia de malware ya conocida, con mayor capacidad de recopilación de datos y comunicación remota con los atacantes.

Apple indicó a CyberGuy que esta amenaza se originó en un software espía mercenario que luego quedó al alcance de delincuentes comunes tras una filtración.

Origen de P7 DarkSword y cómo lo descubrió iVerify

El hallazgo se produjo en agosto de 2026, cuando el sistema de seguridad de iVerify detectó actividad inusual en el dispositivo de un cliente. Con el permiso de esa persona, los investigadores examinaron el teléfono y notaron que el software espía se comportaba de forma distinta a las variantes de DarkSword detectadas anteriormente.

Para confirmar el alcance de la amenaza, el equipo recurrió a la plataforma de inteligencia de amenazas Validin, que les permitió localizar otra versión del malware alojada en una infraestructura sospechosa. El análisis mostró que los atacantes habían modificado el código original para volverlo más potente y más difícil de investigar.

El nombre P7 corresponde a un prefijo hallado en el código de programación del malware. Aunque ese dato técnico resulta irrelevante para el usuario promedio, refleja un cambio real: ahora el software espía recopila más información directamente en el dispositivo infectado y otorga a los atacantes mayor control sobre las acciones posteriores a la infección.

Según explicó Apple a CyberGuy, DarkSword proviene de un software espía mercenario desarrollado con una inversión considerable, pensado originalmente para operaciones de vigilancia sofisticadas. La filtración de ese código permitió que delincuentes comunes accedieran a una herramienta que antes estaba reservada a actores con mayores recursos.

Qué datos personales puede robar el malware DarkSword

Una vez que logra comprometer un iPhone vulnerable, P7 DarkSword puede acceder a información que la mayoría de los usuarios consideraría estrictamente privada. Los investigadores de iVerify detallaron varias funciones específicas detectadas en el código.

El malware puede extraer datos del llavero del iPhone, el sistema donde se almacenan contraseñas y otras credenciales. Esto genera riesgo de vulneración de cuentas, aunque la investigación no confirma que todas esas contraseñas puedan recuperarse en un formato legible para los atacantes.

También tiene capacidad para buscar aplicaciones de monederos de criptomonedas y extraer ciertos datos asociados. Los investigadores identificaron una función dirigida específicamente a la aplicación imToken.

Entre sus otras capacidades, el software espía puede recuperar fotografías recientes mediante la base de datos de imágenes del dispositivo, localizar y copiar las bases de datos de la aplicación Notas, e inventariar las aplicaciones instaladas para recuperar archivos seleccionados de su almacenamiento.

Para quienes guardan documentos confidenciales o información financiera en su iPhone, la exposición potencial resulta considerable, aunque estos hallazgos describen capacidades técnicas y no prueban que los atacantes hayan sustraído efectivamente todo ese contenido del dispositivo analizado.

Comunicación con los atacantes y técnicas de ocultamiento

Uno de los aspectos más preocupantes detectados por iVerify es la frecuencia con la que P7 DarkSword puede contactar a sus operadores. El malware utiliza un sistema de comando y control capaz de verificar si existen nuevas instrucciones cada 15 segundos, un intervalo que los atacantes pueden modificar de forma remota.

Esta característica permite que el software espía reciba órdenes adicionales después de la infección inicial, como recopilar archivos específicos o examinar información almacenada en el teléfono. El malware admite además comandos para escanear el sistema de archivos del dispositivo y ejecutar código JavaScript dentro de su propio entorno de ejecución.

Los investigadores también comprobaron que el software espía inyecta su componente de comunicación en SpringBoard, el proceso central del sistema iOS responsable de la pantalla de inicio y otras funciones de la interfaz.

Junto con esto, los atacantes eliminaron ciertos registros de diagnóstico y redujeron actividades que podrían delatar la infección durante una revisión del dispositivo.

Estas modificaciones complican el trabajo de análisis forense, aunque iVerify no llegó a confirmar que el malware sea completamente indetectable.

Vías de infección y cadena de exploits en iOS

DarkSword está vinculado a una cadena de exploits para iOS que permite comprometer dispositivos vulnerables a través de contenido web malicioso. Según investigadores de seguridad, la variante P7 se distribuye mediante anuncios maliciosos y sitios web comprometidos, un método conocido como ataque “watering hole”.

Bajo este esquema, una persona con un iPhone desactualizado podría infectarse simplemente al navegar por internet, sin advertir que algo fuera de lo común ocurrió en su dispositivo. No obstante, este tipo de ataques depende de la existencia de vulnerabilidades explotables, por lo que mantener actualizado el sistema operativo reduce el riesgo frente a las fallas ya conocidas que utilizó DarkSword en el pasado.

La investigación se concentró principalmente en el funcionamiento del malware una vez producida la infección, sin reconstruir de manera completa cómo el cliente afectado entró en contacto con el contenido malicioso. Por ese motivo, las circunstancias exactas de ese caso puntual permanecen sin aclarar.

Qué versiones de iOS están expuestas al software espía

Los ataques anteriores de DarkSword apuntaban a celulares iPhone con versiones de iOS 18.4 a iOS 18.7. Apple señaló a CyberGuy que corrigió las vulnerabilidades subyacentes en 2025, antes de que el código del software espía se filtrara por primera vez.

La compañía lanzó además una actualización de seguridad en marzo de 2026 destinada a dispositivos más antiguos que no pueden instalar las versiones más recientes de iOS. Según Apple, los iPhone que cuentan con las últimas actualizaciones disponibles, desde iOS 15 hasta iOS 27, permanecen protegidos frente a las vulnerabilidades conocidas asociadas a DarkSword.

En el análisis más reciente sobre P7, los investigadores de iVerify identificaron componentes de explotación vinculados a iOS 18.7, pero no confirmaron que el malware pueda comprometer un iPhone completamente actualizado.

A octubre de 2026, iOS 27 es la generación de software principal de Apple para iPhone, aunque la última actualización disponible varía según el modelo del dispositivo. Los teléfonos que no hayan instalado las actualizaciones de seguridad correspondientes podrían seguir expuestos a las fallas ya identificadas.