🎯 DarkSword — тестовый полигон

Вердикт по вашему текущему браузеру 
—
Фильтр: iPhone + Safari + iOS 18.4–18.6.x (реплика загрузчика lk.js из кампании WYINCC). Android, Chrome/Firefox на iOS, iPad и iOS вне диапазона — пропускаются.
Сброс очищает ds_test_hits / ds_last_verdict / ds_locked / ds_cooldown / ds_loot и перезагружает страницу.

Телеметрия (ds_test_hits)

🪝 Украденное (ds_loot — «C2» импланта)

Попадает сюда: фразы BIP39 12/15/18/21/24 слова с валидной контрольной суммой, найденные имплантом в полях страницы (в т.ч. вставка из буфера). Для каждой: seed (PBKDF2-HMAC-SHA512, 2048 итераций), приватные ключи и адреса m/44'/60' (Ethereum) и m/44'/195' (TRON). Обновляется автоматически. Только тестовые сидки — сюда же смотрел бы реальный атакующий!

🔥 Добыча РЕАЛЬНОЙ цепочки (утёкший DarkSword → коллектор :8881/:8882)

Эксфильтрация с телефона, заражённого реальной цепочкой (darksword-victim-real.html, Safari iOS 18.4–18.6.2): дампы Keychain, WiFi-пароли, iCloud-данные, форензик-файлы. Читается из GET /loot-real.json — сервер serve-polygon.js должен быть запущен. Файлы добычи складываются в каталог loot-real/.

Расшифровка последнего ?d= (конфиг, который в бою уходит в iframe)



  
Матрица «кто прошёл бы фильтр»

  

    

      
User-AgentВердикт

      
iPhone · iOS 18.4–18.6.x · SafariЦЕЛЬ

      
iPhone · iOS 18.7 / 18.7.x · Safariмимо

      
iPhone · iOS 26.x · Safariмимо

      
iPhone · iOS 17.5 и ниже · Safariмимо (для них Coruna)

      
iPhone · Chrome / Firefox / Edge / Operaмимо

      
iPhone · Telegram / WeChat / встроенный WebViewмимо

      
iPad · Safariмимо (нет iPhone в UA)

      
Android · любой браузермимо

      
Mac / Windowsмимо

    

    
iOS 13–17.2.1 закрывает «родственный» кит Coruna; в оригинальном lk.js была ветка /group.html для старых iOS.