iVerify 于 10 月 8 日发布博文，披露名为 P7 DarkSword 的 iOS 间谍软件变种。该发现源于 8 月对一起 DarkSword 感染事件的调查，名称源自攻击者修改原始代码时使用的 p7_ 变量前缀。
该植入程序注入 iPhone 的 SpringBoard 进程，通过 /beacon 端点每 15 秒向攻击者服务器发送一次请求，攻击者可远程调整间隔，并下发文件读取、照片上传、应用枚举、磁盘扫描及 JavaScript 执行等指令。
它可将设备钥匙串数据转为 JSON 后外传，并扫描已安装的加密钱包应用，研究样本显示其 wallet_extract 指令可提取 imToken 钱包相关数据；还能上传照片、Apple Notes 数据库、应用沙盒文件及指定路径下的匹配文件。
iVerify 表示，该变种移除了 HTTP 请求与 syslog 中的调试日志，减少进程注入次数，并利用浏览器 localStorage 防止设备被重复利用，在缩小设备痕迹的同时扩展了窃密能力。