Эксплойт-кит Coruna использует уязвимости Safari в iOS
Группа разведки угроз Google публично раскрыла Coruna, также известный как CryptoWaters, 4 марта 2026 года. Это эксплойт-кит для iOS, содержащий пять полных цепочек эксплуатации и 23 эксплойта для Safari на устройствах с iOS 13.0–17.2.1.
Доставка и защита от анализа
Полезная нагрузка поступает в виде автономного HTML-файла, обычно встроенного в скрытый iframe нулевого размера. После загрузки страницы взаимодействие с пользователем не требуется. Злоумышленники могут распространять набор через сайты, связанные с криптовалютами или азартными играми, скомпрометированный сторонний JavaScript, вредоносную рекламу или заражённые ресурсы CDN. Выполнение происходит в браузере посетителя, поэтому на серверах источника может не наблюдаться подозрительной активности.
Coruna проверяет, включён ли Lockdown Mode, используется ли приватный просмотр, работает ли браузер в безголовой среде и основан ли он на движке WebKit. Для обфускации набор применяет четыре уровня:
- строки, закодированные с помощью XOR;
- диспетчер модулей в Base64 с извлечением модулей на основе SHA-256;
- дополнительно закодированный код модулей;
- встроенные бинарные файлы, скрытые с помощью Base64 и выравнивания в UTF-16LE.
Цепочки эксплуатации и полезная нагрузка
Coruna определяет версии Safari и iOS с помощью проверок строк User-Agent, анализа поведения IndexedDB и оракула памяти WebAssembly. Последний считывает информацию о типах ячеек JavaScriptCore. Основная цепочка «cassowary» нацелена на iOS 16.6–17.2.1 и использует CVE-2024-23222, ошибку смешения типов в JIT-компиляторе JavaScriptCore, устранённую в iOS 17.3. Цепочки Photon и Gallium повторно используют CVE-2023-32434 и CVE-2023-38606, ранее связанные с Operation Triangulation.
В ходе основной последовательности эксплуатации CVE-2024-23222 используется для раскрытия адресов и получения примитивов произвольного чтения и записи в память. Затем Coruna сканирует общий кэш dyld для обхода ASLR, использует функциональность композитора SVG для выхода из песочницы WebKit и обращается к внутренним механизмам JSC и памяти JIT для обхода Pointer Authentication на Apple Silicon. После этого шелл-код для ARM64 загружает зашифрованную полезную нагрузку в формате Mach-O.
Финальная полезная нагрузка, PlasmaLoader или PLASMAGRID, загружает дополнительные модули, декодирует QR-коды и нацеливается на криптовалютные кошельки, в том числе MetaMask, Exodus, Bitget Wallet и Base. Инфраструктура управления включает 27 доменов .xyz длиной 15 символов, сгенерированных с помощью DGA с семенем «lazarus». Для сокрытия активной инфраструктуры применяется Cloudflare.
iOS 17.3 нейтрализует основную цепочку атаки. По сообщениям, iOS 17.4 и более поздние версии блокируют весь набор инструментов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
