Coruna е експлойт комплект, разработен като директен наследник на рамката, използвана в шпионската кампания Operation Triangulation, която през 2023 г. таргетира iPhone устройства чрез zero-click iMessage уязвимости.
Kaspersky открива, че Coruna използва пет пълни iOS експлойт вериги, обхващащи 23 уязвимости, включително CVE-2023-32434 и CVE-2023-38606, които вече бяха използвани в Triangulation.
По думите на Борис Ларин, главен изследовател в Kaspersky GReAT, „Coruna не е сбор от публични експлойти; това е непрекъснато поддържана еволюция на оригиналната Triangulation рамка“.
Поддържани устройства и ОС
Coruna е адаптиран за най-новите Apple чипове и iOS версии:
- Поддържани процесори: A17, M3, M3 Pro, M3 Max
- Поддържани архитектури: ARM64, ARM64E
- Поддържани iOS версии:
- <14.0 beta 7
- <14.7
- <16.5 beta 4
- <16.6 beta 5
- <17.2
Това означава, че експлойт китът може да таргетира модерни устройства и операционни системи, което увеличава риска за собствениците на iPhone.
Как работи атаката
Според анализа на Kaspersky, процесът на заразяване включва няколко стъпки:
- Старт в Safari: стейджър идентифицира устройството и избира подходящи RCE и PAC експлойти.
- Зареждане на компоненти: допълнителни криптирани пакети се изтеглят, декриптират с ChaCha20, разархивират с LZMA и се подготвят за изпълнение.
- Изпълнение: подходящият kernel експлойт, Mach-O loader и launcher се активират според архитектурата и iOS версията.
Payload-ът е предназначен за шпионски операции, но вече се използва и във финансово мотивирани кампании, например кражба на криптовалута чрез фалшиви борси.
Контраст с другите комплекти – DarkSword
Друг наскоро разкрит експлойт кит, DarkSword, също се използва за шпионски цели, но вече е публично достъпен, което увеличава риска от масови атаки срещу непатчнати iPhone устройства.
Apple е публикувала съобщение за сигурност, като подчертава, че фиксове за всички уязвимости са налични чрез актуализации за последните и по-старите версии на iOS.
Coruna демонстрира как едно шпионско оръжие може да се трансформира в универсален инструмент за киберпрестъпления, като същевременно поддържа актуални устройства и софтуер. Продължаващата еволюция на Triangulation подчертава необходимостта от:
- Редовно обновяване на iOS
- Висока осведоменост за потенциални zero-click атаки
- Мониторинг на финансови и крипто платформи за потенциални измами
