สปายแวร์ DarkSword รุ่นใหม่ล้วงรหัสผ่านและกระเป๋าคริปโตบน iPhone ที่ยังไม่อัปเดต
iVerify พบสปายแวร์ DarkSword รุ่นใหม่ (P7) ล้วงรหัสผ่านใน Keychain และข้อมูลกระเป๋าคริปโตบน iPhone ที่ยังค้าง iOS 18 ช่องโหว่ถูกแพตช์แล้ว อัปเดตปิดช่องได้
สารบัญ (7 หัวข้อ)
ลองนึกภาพว่าคุณหยิบ iPhone เครื่องเก่าที่ไม่ได้อัปเดตมานาน เปิดเว็บอ่านข่าวตามปกติ แล้วมีสปายแวร์แอบเข้ามาฝังตัวเงียบ ๆ ผ่านโฆษณาอันตรายบนหน้านั้น นี่คือความเสี่ยงของเครื่องมือเจาะ iPhone ชื่อ DarkSword ที่นักวิจัยเพิ่งพบว่ามีรุ่นใหม่ ซึ่งขโมยได้ลึกถึงรหัสผ่านที่เก็บไว้ในเครื่องและข้อมูลกระเป๋าเงินคริปโต
บริษัทความปลอดภัยบนมือถือ iVerify รายงานเมื่อ 8 ต.ค. 2026 ว่าพบสปายแวร์รุ่นใหม่ที่เรียกว่า P7 ซึ่งเป็นการต่อยอดจาก DarkSword เครื่องมือสอดแนม iPhone ที่ถูกเปิดเผยตั้งแต่ต้นปี DarkSword แพร่ผ่านเว็บไซต์หรือโฆษณาที่ถูกวางกับดักไว้ก่อน ที่วงการความปลอดภัยเรียกว่า watering hole เหมือนนักล่าที่ไปดักรออยู่ที่แหล่งน้ำซึ่งเหยื่อต้องแวะ ต่างกันตรงที่ "แหล่งน้ำ" ในที่นี้คือเว็บที่เป้าหมายเข้าอยู่แล้ว ไม่ใช่กับดักที่สุ่มวางทั่วไป เมื่อเครื่องที่ยังมีช่องโหว่เปิดเนื้อหานั้น สปายแวร์ก็เข้าไปฝังตัวได้ จุดที่ต่างจากรุ่นก่อนคือ P7 ล้วงข้อมูลได้มากขึ้น ทั้งรหัสผ่านและกุญแจที่เก็บใน Keychain ของ iPhone ไปจนถึงข้อมูลกระเป๋าเงินคริปโต
แต่สิ่งที่ควรรู้คือ นี่ไม่ใช่มัลแวร์ที่ไล่ติดคนทั่วไปแบบหว่านแห DarkSword เป็นสปายแวร์สอดแนมที่ก่อนหน้านี้พบใช้โจมตีเป้าหมายเฉพาะกลุ่มในต่างประเทศ เช่น ยูเครน ส่วน P7 ถูกพบบนเครื่องเพียงเครื่องเดียวระหว่างที่ iVerify ตรวจสอบ ที่สำคัญกว่านั้นคือ Apple ปิดช่องโหว่ที่ DarkSword ใช้ไปตั้งแต่ช่วงเดือนมีนาคม–เมษายน 2026 แล้ว เครื่องที่อัปเดต iOS เป็นรุ่นล่าสุดจึงปลอดภัย เพราะ P7 ลงได้เฉพาะเครื่องที่ยัง "ค้าง" อยู่กับ iOS 18 รุ่นเก่าที่ไม่ได้แพตช์เท่านั้น
สิ่งที่คุณทำได้ง่ายที่สุดจึงเป็นการเปิด Settings > General > Software Update แล้วอัปเดต iOS ให้เป็นรุ่นล่าสุดที่เครื่องรองรับ ถ้าเป็น iPhone รุ่นเก่าที่ไปต่อ iOS 26 หรือ 27 ไม่ได้ Apple ก็ออกแพตช์ให้แยกต่างหาก (iOS 18.7.7, 16.7.15 หรือ 15.8.7 ตามรุ่นเครื่อง) ด้านล่างเราสรุปว่าเครื่องแบบไหนเสี่ยง เครื่องแบบไหนปลอดภัย พร้อมไทม์ไลน์ของ DarkSword และจุดที่แหล่งข่าวยังระบุไม่ตรงกัน
สรุปประเด็นสำคัญ
- P7 คือสปายแวร์รุ่นใหม่ ไม่ใช่ช่องโหว่ใหม่: iVerify พบว่ามันคือมัลแวร์ที่ถูกติดตั้งหลังเครื่องถูกเจาะด้วย DarkSword สำเร็จ จุดเด่นของรุ่นนี้คือการขโมยรหัสผ่านใน Keychain และข้อมูลกระเป๋าเงินคริปโตได้โดยตรงบนเครื่อง
- เครื่องที่อัปเดตแล้วปลอดภัย: Apple ปิดช่องโหว่ที่ DarkSword ใช้ไปตั้งแต่เดือนมีนาคม–เมษายน 2026 เครื่องที่ใช้ iOS 26/27 หรืออัปเดตเป็นแพตช์ล่าสุดของสายตัวเองแล้วจะไม่โดน P7
- เครื่องที่เสี่ยงคือ iPhone ที่ยังค้าง iOS 18 รุ่นเก่า: รุ่นที่ไม่ได้แพตช์ตั้งแต่ iOS 18.4 ถึง 18.7 คือกลุ่มที่ P7 ลงได้
- ไทย: ยังไม่มีรายงานเหยื่อในไทย และ ReadEval ยืนยันไม่ได้ว่ามีผู้ใช้ในไทยถูกโจมตีหรือไม่ แต่ผู้ใช้ที่ยังอยู่บน iOS 18 รุ่นเก่าควรอัปเดตเพื่อความปลอดภัย
P7 DarkSword คืออะไร และต่างจากรุ่นก่อนตรงไหน
ชื่อ P7 มาจากที่ผู้พัฒนาสปายแวร์ใส่คำนำหน้า p7_ ไว้ในโค้ดที่ดัดแปลงจาก DarkSword เดิม ตามรายงานของ iVerify (8 ต.ค. 2026) P7 ไม่ใช่ช่องโหว่ตัวใหม่ แต่เป็น "มัลแวร์ขั้นต่อไป" ที่ถูกวางลงบนเครื่องหลังจาก DarkSword เจาะเข้าไปได้แล้ว เทียบกับรุ่นก่อน iVerify ระบุว่า P7 ทำงานแนบเนียนขึ้น ทิ้งร่องรอยบนเครื่องน้อยลง และร่องรอย (IOC) ชุดเดิมที่เคยใช้ตรวจจับก็ใช้ไม่ได้แล้ว
สิ่งที่น่ากังวลคือขอบเขตของข้อมูลที่มันเอื้อมถึง ตามรายงานของ iVerify P7 ดึงข้อมูลในพวงกุญแจดิจิทัล (Keychain ที่เก็บรหัสผ่านและกุญแจต่าง ๆ ของ iPhone) ออกมาโดยตรงบนเครื่องก่อนส่งออกไป เจาะจงข้อมูลกระเป๋าเงินคริปโต (รายงานระบุถึงแอป imToken) รวมถึงเข้าถึงฐานข้อมูลแอป Notes รูปภาพ รายการแอปที่ติดตั้ง และไฟล์อื่น ๆ บนเครื่อง นอกจากนี้ยังสื่อสารสองทางกับเซิร์ฟเวอร์ควบคุม (command-and-control) โดยค่าเริ่มต้นจะติดต่อกลับทุก 15 วินาที และผู้โจมตีสั่งเปลี่ยนจังหวะนั้นจากระยะไกลได้
เครื่องฉันเสี่ยงไหม
เครื่องที่เสี่ยงคือ iPhone ที่ยังใช้ iOS 18 รุ่นเก่าที่ยังไม่ได้แพตช์ ไม่ใช่ iPhone ทุกเครื่อง เพราะ P7 อาศัยช่องโหว่ของ DarkSword ที่ Apple ปิดไปแล้ว
| เครื่องของคุณ | สถานะ |
|---|---|
| iOS 26 หรือ 27 (รุ่นล่าสุด) | ปลอดภัย — ไม่มีช่องโหว่ที่ DarkSword ใช้ |
| iOS 18.7.7 (แพตช์ล่าสุดของสาย iOS 18) | ปลอดภัย |
| iOS 18.4 ถึง 18.7 ที่ยังไม่แพตช์ | เสี่ยง — คือกลุ่มที่ P7 ลงได้ |
| iPhone รุ่นเก่าที่อัปเดต iOS 16.7.15 หรือ 15.8.7 แล้ว | ปลอดภัย — Apple ออกแพตช์ให้สายเก่าด้วย |
ที่มา: รายงาน P7 ของ iVerify, 9to5Mac และหน้าอัปเดตความปลอดภัยของ Apple
iOS 18.7.7, 16.7.15 และ 15.8.7 คือแพตช์ที่ Apple ปล่อยช่วงเดือนมีนาคม–เมษายน 2026 เพื่อปิดช่องโหว่ชุดที่ DarkSword ใช้ ส่วนเครื่องที่ยกระดับไป iOS 26 ขึ้นไปได้ Apple ระบุว่าไม่ได้รับผลกระทบจาก DarkSword อยู่แล้ว
ควรทำอย่างไร
- เปิด Settings > General > Software Update บน iPhone ของคุณ แล้วติดตั้งอัปเดตที่มีให้ หากเครื่องรองรับ iOS 26 หรือ 27 ให้อัปเดตไปรุ่นล่าสุด
- ถ้าเป็น iPhone รุ่นเก่าที่หน้านี้บอกว่าอัปเดตได้สูงสุดแค่ iOS 18, 16 หรือ 15 ให้ติดตั้งแพตช์ล่าสุดของสายนั้น (iOS 18.7.7, 16.7.15 หรือ 15.8.7) เพราะ Apple ออกให้เพื่อปิดช่องโหว่ชุดนี้โดยเฉพาะ
- เปิดการอัปเดตอัตโนมัติไว้ที่ Settings > General > Software Update > Automatic Updates เพื่อให้เครื่องรับแพตช์ความปลอดภัยเองในครั้งต่อไป
- ผู้ที่มีความเสี่ยงสูงเป็นพิเศษ (เช่น นักข่าว นักกิจกรรม) อาจพิจารณาเปิด Lockdown Mode ของ Apple เพิ่ม แต่ iVerify ระบุว่าในกรณี DarkSword โหมดนี้กันได้เพียงบางส่วน การอัปเดตให้เป็นรุ่นล่าสุดจึงยังเป็นเกราะหลัก
สำหรับการตรวจว่าเครื่องติดเชื้อแล้วหรือไม่ เป็นงานของทีมความปลอดภัยที่ใช้ร่องรอย (IOC) ที่ iVerify เผยแพร่ ผู้ใช้ทั่วไปเน้นที่การอัปเดตเพื่อปิดช่องไว้ก่อนก็เพียงพอ
ใครคือเป้าหมายของ DarkSword
DarkSword เป็นสปายแวร์สอดแนมระดับสูง ไม่ใช่มัลแวร์หว่านแหที่เน้นจำนวนเหยื่อ ตอนที่ถูกเปิดเผยเมื่อเดือนมีนาคม 2026 iVerify (ซึ่งทำงานร่วมกับ Google และ Lookout) ระบุว่าพบใช้โจมตีเป้าหมายในยูเครน ผ่านเว็บที่ถูกวางกับดัก รวมถึงเว็บของหน่วยงานรัฐ ด้าน Google Threat Intelligence Group ระบุว่า DarkSword ถูกใช้โดยผู้ให้บริการสอดแนมเชิงพาณิชย์หลายราย และคาดว่ามีผู้โจมตีที่รัฐหนุนหลังด้วย โดยพบเป้าหมายในซาอุดีอาระเบีย ตุรกี มาเลเซีย และยูเครน
ส่วน P7 รุ่นใหม่ iVerify พบบนเครื่องเพียงเครื่องเดียวระหว่างการตรวจสอบเมื่อเดือนสิงหาคม 2026 แม้คนทั่วไปจะไม่ใช่เป้าหมายที่ถูกเล็งเป็นรายคน แต่เพราะ DarkSword แพร่ผ่านโฆษณาและเว็บที่ถูกวางกับดัก คนที่ใช้เครื่องซึ่งยังไม่แพตช์ก็อาจพลาดไปเจอเข้าได้ ก่อนหน้านี้ ReadEval เคยเล่าถึงกรณีที่ Citizen Lab พบสปายแวร์แฝงมากับโฆษณาออนไลน์แบบไม่ต้องคลิก ซึ่งสะท้อนว่าโฆษณาเป็นช่องทางที่ถูกใช้ส่งสปายแวร์มากขึ้น
แหล่งข่าวต่างกันตรงไหน
- เครื่องที่พบ P7 เป็นของสถาบันการเงินหรือไม่: 9to5Mac รายงานว่าเครื่องที่ติดเชื้อเป็นของพนักงานสถาบันการเงินแห่งหนึ่ง แต่รายงานของ iVerify เองระบุเพียงว่าเป็น "เครื่องของลูกค้า" และไม่ได้บอกว่าอยู่ในอุตสาหกรรมใด ReadEval จึงยึดตามต้นทาง และยกคำว่า "สถาบันการเงิน" ให้เป็นข้อมูลจาก 9to5Mac
- รุ่น iOS ที่ได้รับผลกระทบ: ตอนเปิดเผย DarkSword ครั้งแรก iVerify ระบุช่วง iOS 18.4 ถึง 18.6.2 ส่วน 9to5Mac และชื่อไฟล์ในสปายแวร์ P7 อ้างถึงไปจนถึง iOS 18.7 สะท้อนว่าสปายแวร์ถูกขยายให้รองรับรุ่นใหม่ขึ้นตามเวลา ReadEval จึงระบุช่วงกว้างเป็น 18.4–18.7
- จำนวนเครื่องที่เสี่ยง: ตัวเลข "มากถึง 270 ล้านเครื่อง" ปรากฏในข่าวเผยแพร่ของ iVerify และพาดหัวของหลายสำนัก ขณะที่ Tom's Guide อ้างตัวเลขราว 220 ล้านเครื่อง ทั้งสองเป็นการ "ประเมิน" จำนวนเครื่องที่ยังใช้ iOS รุ่นที่มีช่องโหว่ ไม่ใช่จำนวนเครื่องที่ติด P7 จริง
- ผู้อยู่เบื้องหลัง: ในข่าวเผยแพร่ของ DarkSword iVerify ระบุว่าการโจมตีในยูเครนมาจากผู้โจมตีสัญชาติรัสเซีย ขณะที่ Google มองว่า DarkSword ถูกใช้โดยผู้ให้บริการสอดแนมเชิงพาณิชย์หลายราย ทั้งหมดนี้ยังเป็นข้อกล่าวหาและการวิเคราะห์ของนักวิจัย ยังไม่มีการยืนยันทางการ
บทวิเคราะห์จาก ReadEval
Val · โต๊ะความปลอดภัย
ในเรื่องนี้ การอัปเดตคือเกราะที่ได้ผลจริง ไม่ใช่คำแนะนำพอเป็นพิธี เพราะช่องโหว่ที่สปายแวร์อาศัยถูก Apple ปิดไปก่อนที่รุ่นใหม่จะโผล่ด้วยซ้ำ P7 เป็นตัวอย่างที่ดีของวิธีมองข่าวสปายแวร์อย่างมีสติ คือแยกให้ออกระหว่าง "ช่องโหว่" ที่ผู้ผลิตแก้ได้ กับ "มัลแวร์" ที่ต่อยอดจากช่องโหว่นั้น เมื่อช่องถูกปิด มัลแวร์ที่พึ่งพามันก็ลงเครื่องที่อัปเดตแล้วไม่ได้ สิ่งที่ทำให้คนทั่วไปเสี่ยงจึงไม่ใช่ความซับซ้อนของสปายแวร์ แต่เป็นนิสัยปล่อยให้ iPhone ค้างอยู่กับ iOS รุ่นเก่าเป็นเดือนเป็นปี บทเรียนสั้น ๆ คือ ถ้าเครื่องยังขึ้นเตือนให้อัปเดต ให้รีบทำ แล้วความเสี่ยงส่วนใหญ่ในข่าวแบบนี้ก็จบลงตั้งแต่ก่อนเริ่ม
แหล่งที่มา
- iVerify: P7 DarkSword variant threat research (รายงานต้นฉบับ 8 ต.ค. 2026)
- 9to5Mac: Researchers uncover new DarkSword spyware variant affecting unpatched iPhones
- iVerify press release: DarkSword watering hole attack on iOS 18.4–18.6.2 (18 มี.ค. 2026)
- Tom's Guide: More than 220 million iPhones under attack from new DarkSword exploit
- Axios: iPhone spyware is everyone's problem now (ข้อมูลที่ DarkSword ขโมย)
- Apple Security Releases (iOS 18.7.7, 16.7.15, 15.8.7 และรุ่นล่าสุด)
