Цепочки Coruna и DarkSword нацелены на разные версии iOS
Для атак на устройства Apple описаны две цепочки эксплойтов, доставляемые через вредоносный или скомпрометированный веб-контент. Coruna выбирает некоторые старые версии iOS, включая iOS 15.x, iOS 16.x, кроме 16.7.x, и iOS 17.0–17.1.x. Устройства с iOS 17.2.1 или более ранними версиями могут получать устаревший фреймворк. Отдельная цепочка, производная от DarkSword, нацелена на более поздние версии: селекторы направляют iOS 18.4–18.6 на специализированную страницу доставки, а для других сборок iOS 18 используются сценарии, адаптированные под конкретные версии. Развёртывания этих цепочек не приписываются одному конкретному актору.
Доставка и эксплуатация уязвимости Coruna
Обе цепочки начинаются с посещения веб-страницы, часто со скрытым встроенным фреймом. Загрузчик Coruna проверяет, что браузер запущен в Mobile Safari. Некоторые приманки побуждают пользователей открывать ссылки в Safari. Другой путь доставки кода Coruna через легитимные сайты обеспечивал скомпрометированный пакет npm art-template.
Браузерный эксплойт Coruna использует уязвимость CVE-2022-48503 в реализации WebAssembly в Safari. Он создаёт примитивы чтения и записи в памяти, которые позволяют выполнять последующие этапы эксплуатации. Нативный загрузчик распаковывает дополнительные компоненты, в том числе модули ядра для определённых версий iOS. В проанализированных контейнерах нашли 24 различных бинарных файла Mach-O, включая двенадцать сборок одного модуля ядра.
Восстановленные возможности Coruna включают:
- доступ к памяти ядра;
- манипуляцию состоянием, связанным с Apple Mobile File Integrity (AMFI);
- доступ к памяти процессов;
- проверку состояния приложений;
- зашифрованную связь с узлом управления C2 с отключённой проверкой сертификатов;
- удаление диагностических журналов и данных веб-сайтов Safari.
Сценарии DarkSword и сбор данных
Производная от DarkSword цепочка использует сценарии браузерной эксплуатации, адаптированные под версии iOS. Последовательность начинается с удалённого выполнения кода в WebContent и продолжается обходом песочниц процесса GPU и подсистемы мультимедиа. На тестовом устройстве с iOS 18.6.2 процессы mediaplaybackd и SpringBoard взаимодействовали с настроенным сервером C2.
Цепочка загружала модули на JavaScript и выгружала базу данных Apple Notes, а также список установленных приложений. Один из модулей предназначался для извлечения аутентификационных данных Telegram. В восстановленной инфраструктуре исследователи сопоставили 93 домена с 21 коллектором отслеживания. Скрипты отслеживания передавали публичный IP-адрес цели, версию iOS, идентификатор кампании и данные, связанные с доменами.
Совпадающий код в скомпрометированном пакете npm подтвердил идентификацию доставленного фреймворка как Coruna. Цепочку для iOS 18 в отчёте описывают как производную от DarkSword.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
