Google chi tiết về bộ công cụ khai thác iPhone Coruna như một mối đe dọa mới đối với ví tiền điện tử và bảo mật iOS

Các nhà nghiên cứu của Google đã phát hiện ra cách một bộ khai thác iPhone nâng cao, được sử dụng trong nhiều chiến dịch từ năm 2025, đã trở thành một vũ khí nghiêm trọng cho các hacker tập trung vào tiền điện tử.

Google tiết lộ framework Coruna và khả năng của nó trên iOS

Theo một báo cáo mới từ Nhóm Tình báo Mối đe dọa của Google, một framework khai thác mạnh mẽ có tên là Coruna đang nhắm vào người dùng iPhone bằng một chuỗi lỗ hổng phức tạp. Bộ công cụ này chứa năm chuỗi khai thác iOS hoàn chỉnh và 23 lỗ hổng riêng biệt có thể xâm phạm các thiết bị chạy iOS 13 đến iOS 17.2.1.

Bộ khai thác iPhone cho phép hacker thực thi mã độc qua nội dung web bằng cách lợi dụng các lỗi trong trình duyệt WebKit của Apple và các thành phần cốt lõi khác. Hơn nữa, khi nạn nhân mở một trang web bị xâm nhập, framework ngay lập tức xác định đặc điểm của thiết bị, xác định chính xác mẫu iPhone và phiên bản phần mềm đã cài đặt trước khi chọn chuỗi khai thác phù hợp nhất.

Các nhà nghiên cứu giải thích rằng sau khi có quyền truy cập ban đầu, phần mềm độc hại có thể gửi các payload tiếp theo để thu thập dữ liệu cực kỳ nhạy cảm. Điều này bao gồm chi tiết ví tiền điện tử, thông tin tài chính và các hồ sơ cá nhân khác có thể được bán hoặc lợi dụng trong các cuộc tấn công tiếp theo.

Từ các trang web giả mạo tiền điện tử đến thu thập dữ liệu quy mô lớn

Trong một số chiến dịch quan sát được, framework Coruna được triển khai qua các trang web cờ bạc và tiền điện tử giả mạo nhằm thu hút người dùng iPhone. Tuy nhiên, các hacker cũng thử nghiệm với các trang đích khác nhau theo chủ đề để mở rộng phạm vi nạn nhân tiềm năng, trong khi vẫn tập trung nhiều vào các chủ sở hữu tài sản kỹ thuật số.

Payload độc hại có khả năng quét các hình ảnh và tệp lưu trữ trên thiết bị để tìm các từ khóa như “backup phrase” hoặc “bank account”. Điều này cho phép các mối đe dọa tự động xác định các cụm từ khôi phục ví và dữ liệu tài chính khác, có thể cấp quyền truy cập trực tiếp vào ví tiền điện tử và tài khoản ngân hàng của nạn nhân.

Sau khi các cụm từ khôi phục hoặc các bí mật khác bị rò rỉ, tội phạm có thể chuyển tiền ra khỏi các ví bị xâm phạm mà ít khả năng bị phát hiện bởi chủ sở hữu thiết bị cho đến khi quá muộn. Hơn nữa, dữ liệu thu thập được có thể được bán lại cho các nhóm tội phạm mạng khác, làm tăng tác động tiềm năng.

Tiến hóa từ giám sát sang hoạt động của nhà nước và tội phạm mạng

Điều tra của Google cho thấy rằng bộ công cụ Coruna không bắt nguồn từ các vòng tội phạm thuần túy. Nó lần đầu xuất hiện vào năm 2025 trong các hoạt động giám sát có mục tiêu, nơi các nhà vận hành dường như tập trung vào việc theo dõi các cá nhân cụ thể hơn là trộm cắp quy mô lớn.

Tuy nhiên, theo thời gian, bộ khai thác iPhone đã chuyển sang các hoạt động hung hãn hơn và nhạy cảm về địa chính trị. Sau đó, nó được phát hiện trong các cuộc tấn công watering-hole nhắm vào người dùng Ukraine, mà các nhà nghiên cứu cho rằng do một nhóm gián điệp Nga nghi ngờ thực hiện. Trong các chiến dịch này, các trang web bị xâm nhập thường xuyên của các mục tiêu Ukraine đã bị cấy mã khai thác do Coruna điều khiển.

Cuối cùng, cùng một bộ khai thác đã được các hacker có động cơ tài chính liên kết với Trung Quốc sử dụng, đánh dấu sự chuyển đổi từ gián điệp truyền thống sang tội phạm mạng rõ ràng vì lợi nhuận. Hơn nữa, quá trình này cho thấy các công cụ được xây dựng để thu thập thông tin tình báo có thể nhanh chóng tràn vào các hệ sinh thái tội phạm rộng lớn hơn khi bị rò rỉ hoặc chia sẻ.

Nghiên cứu điển hình về di cư phần mềm gián điệp di động và rủi ro tiền điện tử

Các nhà phân tích an ninh cho rằng Coruna thể hiện xu hướng rộng hơn trong cảnh đe dọa mạng. Các framework khai thác tinh vi, như phần mềm gián điệp, ngày càng chuyển từ thị trường giám sát của chính phủ hoặc thương mại sang tội phạm mạng chính thống. Sự di cư này làm mờ ranh giới giữa các công cụ của nhà nước và các nhóm tội phạm bình thường.

Vì các điện thoại thông minh hiện đại thường lưu trữ ví tài sản kỹ thuật số, ứng dụng xác thực và tài liệu cá nhân, các công cụ này trực tiếp tạo điều kiện cho việc trộm cắp ví tiền điện tử quy mô lớn. Hơn nữa, sự hội tụ của các rủi ro bảo mật di động và mục tiêu tiền điện tử có nghĩa là bất kỳ thiết bị iOS chưa vá lỗi nào chứa tài sản kỹ thuật số đều trở thành mục tiêu hấp dẫn.

Sự xuất hiện của nhiều chuỗi khai thác iOS trong cùng một framework cũng làm dấy lên lo ngại về khả năng tái sử dụng. Một khi một hacker sở hữu Coruna, họ có thể tái sử dụng nó cho các chiến dịch mới, chỉ điều chỉnh các trang web dụ dỗ hoặc payload trong khi phần logic khai thác cơ bản vẫn giữ nguyên.

Các bước giảm thiểu và tầm quan trọng của cập nhật iOS

Các nhà nghiên cứu nhấn mạnh rằng việc giữ cho thiết bị luôn cập nhật phiên bản iOS mới nhất là một trong những biện pháp phòng thủ hiệu quả nhất. Theo Google, framework Coruna không hoạt động trên các phiên bản phần mềm mới nhất đã được vá các lỗ hổng khai thác. Tuy nhiên, nhiều người dùng trì hoãn cập nhật, khiến các iPhone cũ bị phơi nhiễm trong thời gian dài.

Các chuyên gia khuyên chủ sở hữu iPhone cài đặt các bản vá bảo mật ngay khi có sẵn, tránh nhập các cụm từ khôi phục hoặc thông tin ngân hàng vào các ứng dụng ghi chú hoặc tệp hình ảnh, và cẩn trọng khi truy cập các trang web cờ bạc hoặc liên quan đến tiền điện tử không quen thuộc. Ngoài ra, các tổ chức có hồ sơ rủi ro cao cũng nên xem xét sử dụng các công cụ phát hiện mối đe dọa di động và chính sách duyệt web nghiêm ngặt hơn trên các thiết bị doanh nghiệp.

Từ góc độ rộng hơn, tính chất tập trung vào WebKit của các chuỗi khai thác Coruna nhấn mạnh rằng một lỗ hổng trình duyệt WebKit có thể mở ra cánh cửa dẫn đến xâm phạm toàn bộ thiết bị. Điều này cũng nhấn mạnh sự cần thiết của việc triển khai vá lỗi nhanh chóng, phối hợp từ các nhà cung cấp và việc người dùng cuối nhanh chóng áp dụng các bản cập nhật.

Sự giao thoa ngày càng tăng giữa bảo mật di động và tài sản kỹ thuật số

Trường hợp của Coruna làm nổi bật mức độ liên kết chặt chẽ giữa an ninh hệ điều hành di động và bảo vệ tài sản kỹ thuật số. Khi ngày càng nhiều người dựa vào điện thoại để quản lý các khoản tiền điện tử, nhắn tin và ngân hàng, bất kỳ bộ khai thác iPhone nâng cao nào cũng đều có tác động trực tiếp đến sự an toàn của quỹ.

Tổng kết, lịch sử chiến dịch do Google theo dõi cho thấy một bộ công cụ có thể chuyển từ giám sát mục tiêu năm 2025 sang các cuộc tấn công watering-hole liên kết nhà nước và cuối cùng là trộm cắp vì lợi nhuận. Điều này cũng cảnh báo rằng các nhà phòng thủ phải giả định rằng các framework tương tự đã lưu hành và cần ưu tiên cập nhật nhanh, lưu trữ an toàn dữ liệu ví và giám sát liên tục các mối đe dọa di động.