Google повідомляє, що набір для експлуатації iPhone Coruna став новою загрозою для криптогаманців та безпеки iOS

Дослідники Google виявили, як передовий набір експлойтів для iPhone, який використовувався у кількох кампаніях з 2025 року, став серйозною зброєю для криптоорієнтованих зловмисників.

Google викриває фреймворк Coruna та його можливості для iOS

Згідно з новим звітом групи Threat Intelligence від Google, потужний експлойт-фреймворк під назвою Coruna націлений на користувачів iPhone за допомогою складної ланцюжка вразливостей. Інструментарій містить п’ять повних ланцюжків експлойтів для iOS та 23 окремі вразливості, які можуть компрометувати пристрої з iOS 13 до iOS 17.2.1.

Цей набір експлойтів дозволяє зловмисникам виконувати шкідливий код через веб-контент, зловживаючи недоліками браузерного движка WebKit від Apple та інших ключових компонентів. Крім того, коли жертва відкриває скомпрометований сайт, фреймворк миттєво ідентифікує пристрій, визначаючи точну модель iPhone та встановлену версію програмного забезпечення, перед тим як обрати найефективніший ланцюжок експлойтів.

Дослідники пояснюють, що після отримання початкового доступу, шкідливе програмне забезпечення може доставляти додаткові шкідливі компоненти для збору дуже чутливих даних. Це включає інформацію про криптовалютні гаманці, фінансові дані та інші приватні записи, які можна монетизувати або використовувати у подальших атаках.

Від фальшивих криптосайтів до масштабного збору даних

У кількох зафіксованих кампаніях фреймворк Coruna використовувався через фальшиві сайти азартних ігор та криптовалют, спеціально створені для залучення користувачів iPhone. Однак зловмисники також експериментували з іншими тематично орієнтованими цільовими сторінками, щоб розширити свою потенційну базу жертв, при цьому зосереджуючись на власниках цифрових активів.

Шкідливий код здатен сканувати зображення та файли, збережені на пристрої, на предмет ключових слів, таких як “backup phrase” або “bank account”. Це дозволяє зловмисникам автоматично ідентифікувати фрази відновлення гаманця та інші фінансові дані, що потенційно дає їм прямий доступ до криптовалютних гаманців та банківських рахунків жертв.

Після викрадення фраз відновлення або інших секретів, злочинці можуть переміщати кошти з компрометованих гаманців, майже без шансів на виявлення з боку власника пристрою, поки не стане занадто пізно. Крім того, зібрані дані можуть бути перепродані іншим групам кіберзлочинців, що збільшує потенційний вплив.

Еволюція від спостереження до використання державами та кіберзлочинністю

Дослідження Google показують, що інструментарій Coruna не виник у чисто кримінальних колах. Він вперше з’явився у 2025 році у цільових операціях спостереження, де оператори зосереджувалися на моніторингу окремих осіб, а не на масштабному крадіжці коштів.

З часом, однак, набір експлойтів для iPhone перейшов у більш агресивні та геополітично чутливі операції. Його згодом зафіксували у атаках watering-hole проти українських користувачів, які дослідники пов’язують із підозрюваною російською шпигунською групою. У цих кампаніях скомпрометовані сайти, якими користувалися українські цілі, були заповнені експлойтами на базі Coruna.

Згодом цей самий набір експлойтів був використаний хакерами з фінансовими мотивами, пов’язаними з Китаєм, що ознаменувало перехід від класичної шпигунської діяльності до відкритого прибуткового кіберзлочинства. Це також ілюструє, як інструменти для збору розвідданих можуть швидко перейти у ширші кримінальні екосистеми, якщо вони потрапляють у чужі руки або їх поширюють.

Кейс-стаді міграції мобільного шпигунства та криптовалютних ризиків

Аналітики безпеки стверджують, що Coruna демонструє ширший тренд у сфері кіберзагроз. Складні експлойт-фреймворки рівня шпигунського програмного забезпечення все частіше переходять із ринків урядового або комерційного спостереження у масове кіберзлочинство. Така міграція мобільного шпигунства розмиває межу між інструментами державних структур і тими, що використовуються звичайними злочинними групами.

Оскільки сучасні смартфони часто зберігають цифрові гаманці, додатки для автентифікації та особисті документи, такі інструменти безпосередньо сприяють крадіжкам криптовалютних гаманців у масштабах. Крім того, поєднання мобільних ризиків безпеки та цілей у сфері криптовалют робить будь-який незап patched iOS пристрій із цифровими активами привабливою ціллю.

Наявність кількох ланцюжків експлойтів у одному фреймворку також викликає занепокоєння щодо повторного використання. Одна група, отримавши Coruna, може перепрофілювати його для нових кампаній, змінюючи лише цільові сайти або шкідливі компоненти, залишаючи основну логіку експлуатації майже без змін.

Заходи щодо пом’якшення та важливість оновлень iOS

Дослідники наголошують, що підтримка пристроїв на найновіших версіях iOS залишається одним із найефективніших захистів. За даними Google, фреймворк Coruna не працює з останніми версіями програмного забезпечення, які отримали патчі для вразливостей, що використовувалися. Однак багато користувачів затримують оновлення, залишаючи старі iPhone відкритими для тривалого часу.

Експерти рекомендують власникам iPhone встановлювати оновлення безпеки одразу, як вони стають доступними, уникати введення фраз відновлення або банківських даних у нотатки або зображення, а також бути обережними при відвідуванні незнайомих сайтів, пов’язаних із азартними іграми або криптовалютами. Крім того, організаціям із високим рівнем ризику слід розглянути використання інструментів мобільного виявлення загроз і більш суворі політики перегляду на корпоративних пристроях.

Загалом, характер атак, орієнтованих на WebKit, підкреслює, що один веб-движок експлойт може відкрити двері до повного компрометування пристрою. Це також підкреслює необхідність швидкого та скоординованого впровадження патчів від виробників і швидкого їх застосування кінцевими користувачами.

Зростаюча взаємозалежність мобільної безпеки та цифрових активів

Випадок Coruna демонструє, наскільки глибоко інтегровані безпека мобільних операційних систем і захист цифрових активів. Оскільки все більше людей використовують смартфони для управління криптовалютами, повідомленнями та банкінгом, будь-який передовий набір експлойтів для iPhone має безпосередні наслідки для безпеки коштів.

На завершення, історія кампаній, яку простежила Google, показує, як один набір інструментів може перейти від цільового спостереження у 2025 році до атак watering-hole, пов’язаних із державами, і, зрештою, до прибуткового крадіжки. Це також сигналізує, що захисники мають враховувати, що подібні фреймворки вже циркулюють, і пріоритетом мають бути швидкі оновлення, безпечне зберігання даних гаманців і постійний моніторинг мобільних загроз.