Censys beschreibt einen relativ einheitlichen Angriffsablauf. Er beginnt, sobald ein Opfer eine vom Betreiber kontrollierte Domain aufruft – entweder eine Unterseite, die die AWS-Konsole imitiert, oder eine Apple-ID-Anmeldeseite. Daraufhin lädt ein bösartiges Iframe-Element JavaScript nach, das die DarkSword-Kette auslöst und am Ende GHOSTBLADE-Module auf dem Gerät installiert.
DarkSword nutzt laut den früheren Analysen von Google Threat Intelligence Group, iVerify und Lookout sogenannte Watering-Hole-Angriffe als Einstiegspunkt. Dabei werden inzwischen gepatchte Schwachstellen in Apples mobilem Betriebssystem ausgenutzt, um JavaScript auszuführen, das die Installation von GHOSTBLADE vorbereitet. Die Ausweitung der Nutzung führt Censys auf die öffentliche Veröffentlichung des Quellcodes zurück: Seit dem Leak seien weitere Bedrohungsakteure auf den Zug aufgesprungen.
Nach einer erfolgreichen Kompromittierung liefert das Implantat Module zum Auslesen von Schlüsselbund-, iCloud- und WLAN-Zugangsdaten und beginnt mit der Exfiltration von Dateien. Die erfassten Daten werden anschließend gebündelt und an vom Angreifer kontrollierte Endpunkte übertragen. Für den Abruf der gestohlenen Daten melden sich die Betreiber laut Censys an Panels mit den Bezeichnungen „DarkSword Admin“, „Decode Dashboard“ oder „C2 Control Panel“ an.
Die Login-Seite für „DarkSword Admin“ ordnete Censys mit Stand vom 30. Juli 2026 sieben Hosts in drei Ländern zu. Hinzu kam ein Host in Singapur mit der Adresse 38.181.52[.]95, auf dem drei unterschiedliche Frontends für Exploit-Panels liefen, sowie ein Host in Hongkong unter 103.106.190[.]217, der zusätzlich einen Köder zum Abgreifen von Apple-ID-Zugangsdaten bündelte. Eines der Login-Panels auf der IP-Adresse 38.22.89[.]117:8888 enthält chinesischsprachige Feldbezeichnungen für „Benutzername“, „Passwort“ und „Anmelden“.
Censys-Forscher Aidan Holland wertet den Cluster als direkten Einsatz des geleakten Kits und nicht als Nachbau. Als Beleg nennt er einen gemeinsam genutzten Hash der Vorbereitungsseite sowie russischsprachige Code-Kommentare, die aus dem geleakten Quellcode übernommen worden seien.
Außerdem fand Censys auf dem inzwischen nicht mehr aktiven Host in Singapur ein Administrationspanel für Coruna, ein weiteres iOS-Exploit-Kit, das älter ist als DarkSword und iOS-Versionen von 3.0 bis 17.2.1 angreift. Es gebe Hinweise darauf, dass der als UNC6353 verfolgte Akteur beide Exploit-Kits bei Angriffen auf ukrainische Ziele verwendet hat.
Zusätzlich entdeckte Censys in Frankfurt unter 93.152.221[.]37 ein offenes Verzeichnis, das Werkzeuge des Betreibers offenlegte. Dazu zählten ein SSH-Schlüsselkommentar „jkcing@apt“, ein Fuzzer für Web-Inhalte und Verweise auf eine zuvor nicht dokumentierte Malware-Familie namens Thorn C2.
Auffällig ist laut Censys auch das Erscheinungsbild des „C2 Control Panel“. Es unterscheide sich sichtbar von den beiden anderen Panels, unter anderem durch einen fast schwarzen Hintergrund, rote Akzente, einen animierten Partikel-Effekt, einen direkt auf der Seite eingeblendeten Gruppennamen „亚太集团“ – auf Deutsch „Asien-Pazifik-Gruppe“ – sowie einen sichtbaren Telegram-Kontaktlink unter hxxps://t[.]me/YATA0000. Nach Angaben von Censys ist dies der erste direkte Kontaktkanal, der diesem Betreiber zugeordnet werden konnte; die anderen Panels böten lediglich eine Anmeldeschranke.