Два мощни експлойт комплекта за iPhone, Coruna и DarkSword, демонстрират как посещението на зловреден или компрометиран уебсайт може да изложи на сериозен риск устройство с остарял софтуер.
Комплектите могат да свържат няколко софтуерни уязвимости във верига, за да преодолеят ограниченията на браузъра и да достигнат до дълбоките нива на iOS. В зависимост от софтуерната версия на устройството и използвания инструмент, атакуващият може да открадне чувствителна информация, без да е необходимо потребителят да инсталира приложение или да потвърждава допълнителни подкани.
Това не са обикновени зловредни уеб страници. Експлойт комплектът представлява набор от инструменти, които проверяват устройството на посетителя и избират код, проектиран специално за неговия софтуер.
Coruna съдържа пет пълни експлойт вериги и 23 експлойта, насочени срещу версии на iOS от 13.0 до 17.2.1. DarkSword използва верига от шест уязвимости срещу iOS от 18.4 до 18.7. Двата комплекта са насочени към различни версии на iOS, така че рискът зависи от инсталираната на устройството версия.
Изследователи от iVerify идентифицираха и изследваха DarkSword съвместно с Google и Lookout, като iVerify съобщава и за по-нови варианти, наблюдавани в реални условия.
В разследване, публикувано през октомври 2026 г., изследователите описват модифицирана версия, наречена P7 DarkSword, която може да краде данни от системната связка на ключове (keychain) и криптовалутни портфейли.
Експлойт комплекти Coruna и DarkSword
Атаката започва, когато Safari зареди зловредна страница или съдържание, скрито в компрометиран уебсайт. Страницата проверява модела на iPhone и версията на iOS, след което подава код, съобразен с конкретното устройство.
Уязвимост в WebKit или JavaScriptCore позволява изпълнението на кода в браузъра. Допълнителни уязвимости помагат той да излезе извън защитните ограничения на браузъра и да получи по-високи системни привилегии.
Тази верига е от ключово значение, тъй като браузърът обикновено работи в ограничена среда, наречена изолирана среда. Изолираната среда има за цел да ограничи достъпа на уеб страницата до останалите ресурси.
Coruna и DarkSword използват допълнителни слабости, за да преодолеят тези бариери; по-късните етапи могат да достигнат до права на ниво ядро (kernel), което осигурява на атакуващия значително по-широк контрол над устройството. По-ранни проучвания на експлойтите в Coruna описват спектъра от използвани уязвимости и засегнатите версии на iOS.
След това инструментите могат да събират ценни данни. Докладите за DarkSword описват кражба на пароли, съобщения, история на сърфиране, данни за местоположение и съдържанието на криптовалутни портфейли.
Анализът на варианта P7 от iVerify добавя и извличане на данни от локалния keychain на устройството, както и двупосочна комуникация със сървър на атакуващия. Тази информация може да застраши както лични профили, така и служебен достъп, особено когато телефонът съдържа запазени идентификационни данни или се използва за потвърждаване на вход.
От таргетирани инструменти към масова криминална употреба
Историята на Coruna показва как мощен експлойт може да преминава между различни субекти. Google проследява използването му от клиент за наблюдение до шпионска дейност срещу украински потребители, а по-късно и до финансово мотивирани кампании, използващи фалшиви сайтове за финанси и криптовалути.
Крайният зловреден код на комплекта, наречен PlasmaLoader, е предназначен да атакува криптовалутни портфейли и да търси фрази за възстановяване в Apple Notes.
DarkSword също надхвърли рамките на ограниченото използване, след като изходният му код изтече публично през 2026 г. Това улесни други киберпрестъпници да се сдобият с комплекта и да го модифицират.
Отделни доклади описват как атакуващи комбинират метода за проникване на DarkSword с инструментите за кражба на портфейли от Coruna — развитие, разгледано в подробен доклад за платформите DarkSword и Coruna.
Публичното изтичане не означава непременно, че всяко копие работи на всеки iPhone, но улеснява повторната употреба и модификациите. Заплахата може да бъде трудна за засичане. Някои импланти работят в рамките на нормални системни процеси и могат да заличават следи от активността си след приключване.
Мониторингът на браузъра или мрежата също може да пропусне действията, извършвани след като експлойт кодът попадне на устройството. От iVerify съобщават, че някои варианти на DarkSword оставят полезни следи, включително история в Safari и регистри за сривове (crash logs), докато артефакти от Coruna могат да се запазят дори след рестартиране или обновяване на iOS.
Инсталирането на най-новата налична версия на iOS за съответното устройство е най-важната стъпка за защита. Обновяванията отстраняват известните уязвимости, използвани в тези вериги; Apple издава и корекции за сигурност за по-стари поддържани устройства. Потребителите трябва да проверят Settings за Software Update и да инсталират предлаганата за техния модел версия.
Режимът Lockdown Mode може да осигури допълнителна защита за лица с по-висок профил на риск, но той не замества редовните актуализации. Той е най-ефективен, когато е активиран преди отварянето на зловредна страница, макар че може да ограничи някои функционалности.
Потребителите трябва също така да избягват въвеждането на входни данни в неочаквани финансови или криптовалутни страници, дори когато сайтът изглежда познат. Организациите следва да следят версиите на iOS на служебните устройства, да преглеждат правата за достъп на всеки телефон и да разполагат с план за изолиране на съмнително устройство с цел разследване.
При подозрение за компрометиране, съхраняваните в този телефон данни за вход трябва да се считат за разкрити: сменете ги от доверено устройство, прекратете активните сесии, където е възможно, и уведомете екипа по сигурност на организацията. Предоставянето на оборотен служебен телефон може да помогне на служителите да продължат работа, докато разследващите съхраняват оригиналното устройство за анализ.
Индикатори за компрометиране (IoCs):-
| Тип | Индикатор | Контекст |
|---|---|---|
| Exploit URL | hxxps://cdn[.]gotoiphone[.]com | P7 exploit delivery |
| Exploit URL | hxxps://mzpo30[.]cam/assets/js/group[.]html | P7 exploit delivery |
| C2 server | hxxps://agdx53[.]cc | Command-and-control server |
| C2 URL | hxxps://js[.]gotoiphone[.]com/ios18 | P7 C2 endpoint |
| SHA-256 | c9f8bf92af34239f68e6be9bed945d6e9b4e2d5fc6883a501bc85e3c88a761b7 | rce_loader.js from cdn[.]gotoiphone[.]com |
| SHA-256 | eb6da327d5e456a594a066fda2140234ffad305fb204556477718dfce31afe81 | rce_loader.js from mzpo30[.]cam |
| SHA-256 | c6587d10462c81c66c0798378710f492c7725a91d86c8e541cf66211bff4abff | c2_agent.js from cdn[.]gotoiphone[.]com |
| File artifact | /private/var/tmp/keychain_c2_dump.json | Keychain data dump |
| File artifact | /private/var/tmp/p7_debug.log | P7 activity log |
Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или препращане. Възстановете активната им форма само в контролирани платформи за киберразузнаване като MISP, VirusTotal или вашата SIEM система.