Censysの研究者は、100以上のウェブサイトを運営する脅威アクターを特定した。これらの多くは、エクスプロイトキットをホストするドメイン内の偽AWSログインページである。このキャンペーンは香港を中心にしているが、日本、米国、欧州にも及んでいる。DarkSwordキットのソースコードが流出したことで、他の脅威アクターもこの手法を利用するようになった。

DarkSwordはiOS 18.4から18.7までのバージョンを標的にしたエクスプロイトキットであり、GHOSTBLADE情報盗みソフトウェアの配布に利用されている。このキャンペーンはApple IDの認証情報を収集するデコイによって支援されている。CensysはDarkSword Adminパネルが7つのホストと一致し、これらが3つの異なる国にあることを指摘した。

このキャンペーンは、ユーザーが偽のAWSコンソールまたはApple IDログインページにアクセスすることで始まり、その後、GHOSTBLADEモジュールを配布する悪意のあるiframeをロードしてDarkSwordチェーンをトリガーする。攻撃が成功すると、キーチェーン、iCloudおよびWi-Fiの認証情報をダンプするモジュールとファイル抜き出しスキャン処理が開始される。