아이폰 스파이웨어 'P7 다크소드' 발견…키체인·암호화폐 지갑 탈취

보안업체 iVerify, 금융기관 직원 아이폰 감염 조사 중 발견…악성 광고 통해 무차별 유포

한 보안 전문가가 사무실 책상에 놓인 스마트폰의 악성코드 감염 여부를 점검하고 있다. (AI 생성 이미지)

보안업체 iVerify가 아이폰을 겨냥한 신종 스파이웨어 'P7 다크소드'를 발견해 8일(현지시간) 공개했다.

iVerify는 두 달 전 한 금융기관 직원의 아이폰 감염을 조사하는 과정에서 기존에 없던 변종인 P7 다크소드를 발견했다. P7이라는 명칭은 공격자가 원본 다크소드 코드를 수정한 부분에 사용한 접두사 'p7_'에서 따왔다.

다크소드는 올해 초 구글과 iVerify가 공개한 정교한 아이폰 해킹 도구로, 여러 iOS 취약점을 연쇄 악용해 구버전 운영체제가 설치된 기기를 침해한다. 코루나(Coruna)가 iOS 13부터 iOS 17.2.1을 실행하는 기기를 겨냥한 반면, 다크소드는 iOS 18.4부터 iOS 18.7까지의 아이폰에 영향을 미친다.

iVerify에 따르면 신종 변종 P7은 은닉성·안정성·데이터 탈취 능력 세 가지 측면에서 이전 버전보다 진화했다. P7은 이전에 iVerify가 추적하던 변종이 지원하던 iOS 18.6에서 iOS 18.7로 호환 범위를 넓혔다.

감염된 기기는 기본적으로 15초마다 공격자 서버에 신호를 보내며, 키체인 비밀번호와 애플 메모 데이터를 빼내고 암호화폐 지갑 앱 imToken의 데이터도 탈취하는 모듈을 탑재하고 있다.

P7은 활동 로그 양과 프로세스 주입 횟수를 줄여 기기에 남기는 흔적을 최소화한다. 또한 브라우저 데이터를 활용해 같은 아이폰에서 익스플로잇을 반복 실행하지 않도록 설계됐다. iVerify는 이러한 변화가 AI를 이용한 단순 자동 코드 편집이 아니라 악성코드 운영자의 상당한 수작업 결과물임을 시사한다고 밝혔다.

공격자는 P7을 악성 광고를 통한 워터링홀 공격 방식으로 유포하고 있어, 피해자가 반드시 개별 표적이 될 필요는 없다. 악성 또는 침해된 웹 콘텐츠에 접속하기만 해도 감염될 수 있는 광범위한 캠페인 형태다.

한편 보안업체 센시스(Censys)는 별도 조사를 통해 다크소드·코루나 플랫폼과 연관된 서버의 실체를 추가로 드러냈다. 센시스 연구진은 2026년 9월 15일부터 17일 사이 내부 오픈 디렉터리 인덱스를 통해 다크소드·코루나 인프라에 노출된 서버를 확인했다. 확보된 운영 서버에는 탈취된 BIP39 복구 문구 11개, 기기 탈취 디렉터리 179개, 운영자 계정 75개 이상, 지갑별 탈취 모듈 18개 이상이 담겨 있었다.

노출된 키트에는 메타마스크·팬텀·트러스트 월렛·코인베이스·엑소더스·imToken·비트파이 등 18개 지갑 앱을 표적으로 삼는 모듈이 포함돼 있었다.

이 운영 구조는 에이전트나 리셀러가 피해자·기기 할당량·수수료·명령·탈취 데이터를 중앙 관리 패널을 통해 관리하는 서비스형 익스플로잇 형태로 작동하는 것으로 보인다.

아이폰 이용자는 iOS 최신 버전으로 즉시 업데이트해 피해를 예방할 수 있다. iVerify는 P7 다크소드가 iOS 자체의 새로운 취약점이 아니라 다크소드 익스플로잇 공격이 성공한 뒤 배포되는 악성 페이로드라고 설명했다. 업데이트된 iOS를 사용하면 초기 침투 경로 자체가 차단된다.