Уязвимость iPhone в Короне нацелена на криптовалютные кошельки, предупреждают исследователи безопасности

Кратко

Исследователи в области кибербезопасности обнаружили эксплойт-кит Coruna — сложный набор инструментов, нацеленный на iPhone с iOS 13–17.2.1 для кражи данных криптовалютных кошельков через использование нескольких уязвимостей нулевого дня.

Исследователи в области кибербезопасности обнаружили мощный хакерский набор, который может обходить системы безопасности Apple iPhone и похищать криптовалюту из кошелька пользователя. Эксплойт-кит называется Coruna и использует несколько уязвимостей в мобильной операционной системе Apple, уже применялся в шпионских и финансово мотивированных киберпреступных действиях.

Исследователи из Google Threat Intelligence Group обнаружили, что фреймворк Coruna содержит 23 различных эксплойта, объединённых в несколько цепочек атак, что позволяет злоумышленникам атаковать устройства с более старыми версиями мобильного ПО Apple. После внедрения вредоносное ПО сканирует устройство на наличие чувствительных данных, таких как криптовалютные кошельки и банковские реквизиты.

Это подтверждает растущие риски для пользователей криптовалют, использующих мобильные кошельки для хранения цифровых активов. С ростом популярности мобильной торговли и децентрализованных финансовых приложений злоумышленники всё чаще нацеливаются на смартфоны как точку доступа к цифровым средствам.

Сложный набор инструментов с множеством путей атаки

Эксплойт-кит Coruna считается одним из самых сложных структур атак на iPhone, когда-либо публично сообщавшихся. Эксперты по безопасности отмечают, что этот набор может атаковать устройства с версиями iOS 13 по iOS 17.2.1, что актуально для iPhone, выпущенных с 2019 по конец 2023 года.

В отличие от одной уязвимости, Coruna объединяет 23 различных эксплойта в 5 цепочек атак, что позволяет преодолевать несколько уровней защиты Apple.

Атака зачастую не требует взаимодействия с пользователем — достаточно просто посетить вредоносный сайт. После загрузки заражённой страницы на уязвимом устройстве скрытый код эксплойта автоматически выполняется, позволяя злоумышленнику взять контроль над телефоном и установить вредоносное ПО.

Первым этапом происходит определение модели iPhone и типа используемой операционной системы. Затем выбирается подходящая цепочка эксплойтов для обхода мер безопасности и установки вредоносного ПО.

Криптовалютные кошельки становятся основной целью

После взлома устройства вредоносное ПО нацелено на кражу ценных данных, особенно реквизитов криптовалютных кошельков. По данным следователей, вредоносное ПО сканирует сообщения, заметки и данные приложений в поисках ключевых слов, связанных с криптофразами восстановления.

Особое внимание уделяется словам «mnemonic phrase», «backup phrase» и «bank account», которые обычно связаны с программами восстановления кошельков. Обнаружив такие фразы, злоумышленники могут использовать их для восстановления кошелька жертвы на другом устройстве и полного доступа к средствам.

Исследователи отмечают, что эксплойт-кит нацелен на популярные децентрализованные кошельки и платформы, связанные с протоколами DeFi и торговыми платформами.

Сообщается, что как минимум 18 крипто-приложений поддерживают такую добычу данных при установке на скомпрометированные устройства. После сбора чувствительных данных вредоносное ПО передает их на удалённые серверы командования и управления, контролируемые злоумышленниками, что позволяет быстро опустошить кошельки пострадавших.

От инструмента шпионажа до оружия преступников

Одной из самых тревожных проблем, связанных с эксплойт-китом Coruna, является его распространение среди различных злоумышленников. По данным следователей, впервые он был замечен в 2025 году в рамках целенаправленных слежек, связанных с коммерческим шпионским ПО.

В том же году инфраструктура эксплойта использовалась в так называемых «watering hole» атаках на украинские сайты, организованных предполагаемой российской шпионской группировкой.

К 2025 году набор инструментов вновь появился в операциях киберпреступных группировок, связанных с фальшивыми сайтами криптовалют и азартных игр.

Экспертам известно, что злоумышленники разместили эксплойт-кит на сотнях мошеннических сайтов, заражая десятки тысяч устройств и похищая информацию о криптокошельках. Разработка этого набора показывает, как передовые технологии кибершпионажа могут попасть в руки преступного мира.

Растущий рынок нулевых уязвимостей

Аналитики отмечают, что Coruna отражает более широкую тенденцию в сфере кибербезопасности — развитие подпольного рынка передовых хакерских инструментов.

Более сложные эксплойт-рамки, созданные государствами для слежки или сбора разведданных, иногда попадают в руки отдельных продавцов или чёрных рынков, а затем — к киберпреступникам.

Недавние сообщения указывают, что Coruna может сравниться с предыдущими громкими операциями по слежке за iPhone, такими как Operation Triangulation, использовавшей нераскрытые уязвимости для взлома устройств Apple.

Переход этих инструментов из сферы шпионажа в финансовый киберпреступный сектор вызывает обеспокоенность, поскольку такие продвинутые эксплойты могут очень быстро попасть на чёрный рынок.

Устройства Apple не защищены от масштабных атак

За годы существования мобильной экосистемы Apple считалась более безопасной по сравнению с большинством конкурентов благодаря строгой среде приложений и закрытой системе аппаратного и программного обеспечения.

Тем не менее, случаи, такие как Coruna, показывают, что даже самые защищённые системы могут быть взломаны, если злоумышленники получают доступ к нескольким уязвимостям нулевого дня.

Конструкция эксплойт-кита вызывает особую тревогу, считают эксперты, поскольку она позволяет массовое использование и нецелевое наблюдение. Один вредоносный сайт может заразить любое уязвимое устройство, посетившее его.

По мнению специалистов, это особенно опасно для тех, кто использует криптовалюты и регулярно взаимодействует с децентрализованными приложениями, страницами заявлений токенов или сторонними торговыми платформами, поскольку мошенничество в криптовалютной сфере продолжает расти.

Меры защиты и реакция Apple

К счастью, исследователи отмечают, что в новых версиях своей операционной системы Apple уже устранила уязвимости, использованные Coruna.

Не предполагается, что эксплойт-кит может повлиять на пользователей, использующих последние версии iOS. Пользователям iPhone рекомендуется немедленно обновить устройства до последней версии iOS. Обновление устраняет уязвимости, позволяющие Coruna получить первоначальный доступ к системе.

Для защиты устройств эксперты также советуют включить режим Lockdown, который есть на устройствах Apple и позволяет избежать сложных шпионских внедрений, если обновление невозможно. Как утверждают исследователи, Coruna автоматически приостанавливает работу при обнаружении режима Lockdown на устройстве.