Denna iOS-exploiteringskit har 23 attacker – men Lockdown-läget stoppar den kallt

Googles Threat Intelligence Group (GTIG) har släppt en ny rapport om en kraftfull iOS-exploiteringskit kallad "Coruna", som har färdats från en övervakningsleverantörs kund till en rysk spiongrupp och vidare till kinesiska cyberkriminella, vilket avslöjar en sofistikerad exploiterings "försörjningskedja" i processen. Coruna beskrivs som en av de mest omfattande iOS-exploiteringsverktygen som dokumenterats offentligt, och den riktar sig mot iPhones som kör iOS 13.0 till iOS 17.2.1, med 23 exploateringar över fyra år av iOS-versioner. Enligt GTIG sågs den först i februari 2025, när den användes av en kund till en kommersiell övervakningsleverantör. Vid sommaren 2025 dök samma ramverk upp i watering hole-attacker (där en angripare komprometterar webbplatser som deras avsedda mål sannolikt kommer att besöka) av en misstänkt rysk spiongrupp som riktade sig mot ukrainska användare. Sedan, i slutet av 2025, använde en Kina-baserad, ekonomiskt motiverad aktör den över ett stort nätverk av falska finansiella och kryptovaluta-webbplatser. GTIG sa att det var oklart hur exploiteringskitet passerade från aktör till aktör, men att det tyder på en aktiv marknad för "begagnade" zero-day-exploateringar. När det gäller kitet beskrivs det som extremt välkonstruerat. När någon besöker en infekterad webbplats, tar det reda på vilken typ av iPhone de använder och vilken programvaruversion den kör, och väljer sedan rätt attack för just den enheten. Om användaren har aktiverat Apples Lockdown-läge drar kitet sig tillbaka – det försöker inte ens. Attackkoden är skriven med stark kryptering, så det är svårt för säkerhetsforskare att avlyssna och analysera, och den är paketerad i ett anpassat format som utvecklarna tydligen har uppfunnit själva. Koden inkluderar också detaljerade anteckningar skrivna på engelska som förklarar hur allt fungerar, och använder attacktekniker som inte har setts offentligt tidigare, enligt GTIG:s analys. Kitet riktar sig mot kryptovaluta-plånböcker och finansiella data, och är kapabel att hooka in i 18 olika kryptovaluta-appar för att exfiltrera plånboksuppgifter. Payloaden kan avkoda QR-koder från bilder på disken, och den har också en modul för att analysera textblock för att leta efter BIP39-ordsekvenser eller mycket specifika nyckelord som "backup phrase" eller "bankkonto". Den skannar till och med Apple Notes efter typiska seed phrases. Alla som fortfarande använder iOS 17.2.1 eller tidigare är potentiellt sårbara för exploiteringskitet, som inte fungerar mot nyare iOS-versioner, så se till att uppdatera om du kan. Annars verkar slutsatsen vara att Apples Lockdown-läge gör sitt jobb för att avvärja ett så kraftfullt exploiteringskit, och det kan bara vara goda nyheter för dem som aktiverar det.