Вразливість iPhone Coruna націлена на криптовалютні гаманці, попереджають дослідники з безпеки

Коротко

Кібербезпекові дослідники виявили експлойт-кит Coruna — складний інструментарій, який націлений на iPhone з iOS 13–17.2.1 для крадіжки даних криптовалютних гаманців через кілька нульових дір у безпеці.

Дослідники у сфері кібербезпеки виявили потужний хакерський інструментарій, який може обійти систему безпеки Apple iPhone та викрасти криптовалюту з гаманця користувача. Експлойт-кит називається Coruna і використовує кілька вразливостей мобільної операційної системи Apple, вже застосовувався у шпигунських та фінансово мотивованих кіберзлочинах.

Дослідники з Google Threat Intelligence Group з’ясували, що фреймворк Coruna містить 23 різні експлойти, зібрані у кілька атакових ланцюгів, що дозволяє хакерам атакувати пристрої з застарілими версіями мобільного ПЗ Apple. Після запуску шкідливе програмне забезпечення сканує пристрої на предмет чутливих даних, таких як криптовалютні гаманці та банківські дані.

Це відкриття підкреслює зростаючі ризики для користувачів криптовалют, які зберігають цифрові активи у мобільних гаманцях. З популярністю мобільної торгівлі та децентралізованих фінансових додатків, зловмисники все частіше цілиться у смартфони як точку доступу до цифрових коштів.

Складний інструментарій з кількома шляхами атаки

Експлойт-кит Coruna вважається одним із найскладніших структур атак на iPhone, коли-небудь оприлюднених. Експерти з безпеки зазначають, що цей інструментарій може атакувати пристрої з версіями iOS від 13 до 17.2.1, що поширюються на iPhone, випущені з 2019 до кінця 2023 року.

Замість однієї вразливості, Coruna поєднує 23 різні експлойти у 5 цілісних атакових ланцюгах, що дозволяє подолати кілька рівнів захисту Apple.

Атака у багатьох випадках не потребує взаємодії користувача, достатньо просто відвідати зловмисний сайт. Після завантаження зламаної сторінки на уразливому пристрої, прихований код експлойту автоматично виконується, дозволяючи зловмиснику взяти контроль над телефоном і встановити шкідливе ПЗ.

Спершу він ідентифікує модель iPhone та тип використовуваної операційної системи. Потім обирає відповідний ланцюг експлойтів для обходу заходів безпеки та встановлення шкідливого ПЗ.

Криптовалютні гаманці стають головною ціллю

Після компрометації пристрою, шкідливе ПЗ спрямоване на крадіжку цінних даних, зокрема облікових даних криптовалютних гаманців. За даними слідчих, вбудоване ПЗ сканує повідомлення, нотатки та дані додатків, шукаючи ключові слова, пов’язані з фразами відновлення криптогаманця.

Шкідливе ПЗ шукає слова «mnemonic phrase», «backup phrase» та «bank account», які зазвичай асоціюються з програмами відновлення гаманців. Знайшовши такі фрази, зловмисники можуть використати їх для відновлення гаманця жертви на іншому пристрої та отримати повний доступ до коштів.

Дослідники стверджують, що експлойт-кит націлений на популярні децентралізовані додатки для гаманців, платформи, що з’єднують користувачів із протоколами децентралізованих фінансів та торгові платформи.

Звіти свідчать, що щонайменше 18 криптопрограм підтримують таку видачу даних при встановленні на зламані пристрої. Після збору чутливих даних, шкідливе ПЗ передає їх на віддалені сервери командування та контролю, якими керують зловмисники, щоб швидко опустошити гаманці постраждалих.

Від шпигунського інструменту до злочинної зброї

Один із найтривожніших аспектів Coruna — це шлях поширення цього інструментарію серед різних загроз. За даними слідчих, перше повідомлення про Coruna з’явилося у 2025 році у рамках цілеспрямованого спостереження за клієнтами комерційного шпигунства.

У тому ж році ця сама інфраструктура експлойтів використовувалася у так званих атаках «watering hole» на українські сайти, організованих нібито російською шпигунською групою.

До 2025 року інструментарій знову з’явився у фінансово орієнтованих операціях кіберзлочинних організацій із фальшивими криптовалютними та азартними сайтами.

Дослідники вважають, що хакери встановлювали цей інструментарій на сотні фальшивих сайтів, що інфікували десятки тисяч пристроїв, а інформація користувачів про криптовалютні гаманці була викрадена. Розробка цього інструментарію демонструє, як найкращі технології кібершпигунства можуть потрапити до кримінальної екосистеми.

Ринок нульових дір у безпеці зростає

Аналітики відзначають, що Coruna є ознакою ще більшої тенденції у сфері кібербезпеки — розвитку підпільного ринку передових хакерських інструментів.

Більш складні експлойт-фреймворки, створені урядами для шпигунства або збору розвідувальних даних, іноді потрапляють до рук приватних продавців або чорних ринків, а згодом — до кіберзлочинців.

Недавні повідомлення свідчать, що Coruna може бути порівняна з попередніми високопрофільними операціями стеження за iPhone, наприклад, Operation Triangulation, яка використовувала ще не розкриті вразливості для компрометації пристроїв Apple.

Факт, що ці інструменти перейшли з сфери шпигунства у фінансовий кіберзлочин, викликає занепокоєння, оскільки передові експлойти швидко потрапляють на підпільний ринок.

Пристрої Apple не захищені від масштабних атак

Протягом років мобільна екосистема Apple вважалася більш безпечною порівняно з іншими системами завдяки суворому середовищу додатків і закритій апаратно-програмній системі.

Однак випадки, такі як Coruna, показують, що навіть найнадійніші системи можуть бути зламані, якщо зловмисники отримають доступ до кількох нульових дір у безпеці.

За словами аналітиків, особливо тривожним є той факт, що цей інструментарій може використовуватися для масових атак, а не лише цілеспрямованого шпигунства. Один зловмисний сайт може заразити будь-який уразливий пристрій, що його відвідує.

Експерти наголошують, що це особливо небезпечно для тих, хто використовує криптовалюту та регулярно користується децентралізованими додатками, сторінками для заявлення токенів або сторонніми торговими сервісами, оскільки кількість криптогаманцевих шахрайств зростає.

Заходи захисту та реакція Apple

На щастя, дослідники повідомляють, що у нових версіях своєї операційної системи Apple вже виправила вразливості, які використовував Coruna.

Не вважається ймовірним, що цей експлойт-кит може вплинути на користувачів із останніми версіями iOS. Команди безпеки рекомендують користувачам оновити свої телефони до останньої версії iOS одразу. Оновлення усуває вразливості, що дозволяли Coruna отримати доступ до системи.

Щоб захистити свої пристрої, експерти також радять увімкнути режим Lockdown, який є опцією на пристроях Apple і дозволяє уникнути складних шпигунських атак у разі неможливості оновити пристрій. Як стверджують дослідники, Coruna автоматично призупиняє свою роботу, якщо на пристрої активовано режим Lockdown.