Группа анализа угроз Google (GTIG) представила отчет о мощном инструменте для взлома iOS под названием Coruna. Исследователи проследили путь этого набора от коммерческого поставщика услуг наблюдения до российских шпионских групп и китайских киберпреступников, что вскрыло существование сложной «цепочки поставок» вредоносного ПО.
Особенности набора эксплойтов Coruna
Coruna считается одним из самых полных общедоступных комплектов для взлома Apple iPhone. Он включает 23 различных эксплойта, охватывающих четыре года обновлений системы, и нацелен на устройства с версиями iOS от 13.0 до 17.2.1.
- Первое обнаружение: февраль 2025 года (использование клиентом коммерческого поставщика).
- Лето 2025 года: использование в атаках «watering hole» (компрометация посещаемых ресурсов) группировкой, нацеленной на украинских пользователей.
- Конец 2025 года: внедрение китайскими хакерами в сеть фишинговых финансовых и криптовалютных сайтов.
Аналитики отмечают существование активного «рынка подержанных эксплойтов нулевого дня», так как точный механизм передачи инструмента между столь разными субъектами остается неизвестным.
Как работает защита
Инструмент отличается высоким уровнем технической проработки. При заходе жертвы на зараженный ресурс скрипт определяет модель iPhone и версию прошивки, автоматически подбирая подходящий метод атаки. Однако, если на смартфоне активирован «Режим блокировки» (Lockdown Mode), набор эксплойтов полностью прекращает активность.
Код атаки защищен стойким шифрованием и упакован в уникальный формат, затрудняющий анализ. Примечательно, что внутри содержимого были найдены подробные англоязычные инструкции для операторов, а также ранее неизвестные методы обхода защиты.
Цели и методы хищения данных
Основной интерес злоумышленников сосредоточен на финансах и криптовалютах. Набор способен:
- Перехватывать данные в 18 популярных приложениях для криптовалют.
- Декодировать QR-коды из изображений, хранящихся на устройстве.
- Сканировать Apple Notes и другие текстовые документы на наличие сид-фраз, «резервных фраз» или банковских реквизитов.
Пользователям, использующим iOS 17.2.1 и старше, рекомендуется немедленно обновить систему до актуальной версии. Использование «Режима блокировки» остается одним из самых надежных способов защиты от подобных сложных угроз.
