Хакери използват zero-click експлойтите Coruna и DarkSword за кражба на чувствителни данни от iPhone

Хакери използват два мощни комплекта за експлоатация на iPhone – Coruna и DarkSword, – за да проникват в телефони и да крадат лични данни. Жертвата трябва само да отвори уеб страница. Не се инсталира приложение и не се показва заявка, която да бъде приета.

Мащабът е по-голям, отколкото мнозина очакваха. Изследователите откриха 608 домейна, които доставят код от семейството на Coruna. Тези сайтове избират верига за експлоатация според версията на iOS на телефона.

iPhone устройствата с iOS 17.2.1 или по-стара версия получават оригиналния комплект Coruna. По-новите iPhone устройства с iOS 18 получават верига, изградена от DarkSword. По-ранни публикации за комплектите Coruna и DarkSword вече показаха как остарелите iPhone устройства са изложени на риск при едно-единствено посещение на уебсайт.

Анализатори от екипа zLabs на Zimperium идентифицираха и документираха тази активност в подробен технически доклад, публикуван на 29 октомври 2026 г.

Те възстановиха както кода за браузъра, така и native зловредния код. Освен това свързаха 93 от домейните с 21 сървъра за проследяване.

Хакери използват zero-click експлойтите Coruna и DarkSword

Заразяването започва със страница, която изглежда нормално. Zimperium откри сайтове за запознанства, създадени за потребители в Бразилия, Нигерия и Индонезия.

Намерени са също чат сайтове с AI компаньони, промоции на криптовалути и стрийминг страници. Докато посетителят вижда примамката, скрит фрейм зарежда експлойта във фонов режим.

Някои страници казват на потребителите на TikTok да докоснат „Open in browser“, така че връзката да се отвори в Safari – браузъра, от който експлойтът се нуждае. На екрана нищо не изглежда нередно, затова съвети от рода на „обръщайте внимание на странно поведение“ тук не помагат.

След това скрипт проверява версията на iOS и избира правилния път. Веригата Coruna използва CVE-2022-48503 – уязвимост в WebAssembly в Safari, – за да чете и записва в паметта на браузъра.

После заобикаля удостоверяването на указатели (pointer authentication) – защита на Apple, която подписва адресите на кода, така че манипулациите да бъдат засечени. След като излезе от браузъра, native модулите четат и записват в паметта на ядрото и променят настройките за подписване на кода.

Те комуникират със своите сървъри през криптиран трафик с изключени проверки на сертификатите. Освен това изтриват дневниците за сривове и данните на уебсайтовете в Safari, за да заличат следите си.

Веригата DarkSword работи на стъпки. Първо се изпълнява кодът в браузъра. След това той излиза през GPU процеса и преминава в mediaplaybackd – системна медийна услуга.

При теста на Zimperium върху iPhone с iOS 18.6.2 телефонът се свързал с командния сървър 144 пъти и изтеглил седем допълнителни модула.

Един от модулите е създаден да чете локалното хранилище на Telegram. След това телефонът изпратил базата данни на Apple Notes и списък от 214 инсталирани приложения.

Същият комплект се е появявал и в разрастващата се уеб инфраструктура на DarkSword, която операторите подменят в рамките на дни, както показа докладът на Censys за разрастващата се уеб инфраструктура на DarkSword.

Доставка през веригата за доставки и начини за защита

Не всяко заразяване започва със злонамерена връзка. SafeDep откри съвпадащ код на Coruna в npm пакета art-template, в който е внедрен backdoor и който много разработчици са включили в сайтовете си.

Всеки сайт, използващ заразените версии, е доставял експлойта на собствените си посетители, така че не е бил необходим подозрителен домейн за примамка. Списъците за блокиране на домейни напълно пропускат този маршрут.

Zimperium забеляза и фалшив файл jquery.min.js, зареждан от домейн, наподобяващ Google, в сайт за комикси, който след това стартирал веригата Coruna.

Кой стои зад това, остава неясно. Coruna първоначално е създаден от държавно подкрепян атакуващ за целенасочена работа, но изтичането му е разпространило инструментариума сред много групи.

Част от възстановения код съдържа коментари на китайски език. Zimperium заявява, че това описва единствено как е написан кодът, а не кой го е внедрил, затова свързва заключенията си само с кода и инфраструктурата.

Най-добрата защита е инсталирането на корекции за сигурност, защото всяка CVE уязвимост в тези вериги вече е отстранена. Apple дори пусна разширено обновяване iOS 18.7.7 за повече устройства, за да блокира DarkSword, затова потребителите трябва да проверят в Settings за най-новата версия, предлагана за техния телефон.

Хората с по-висок риск, като журналисти, активисти и ръководители, трябва да включат Lockdown Mode. Всички трябва да приемат неочакваните подкани „Open in Safari“ като знак „стоп“.

Екипите по сигурност трябва да изискват iOS версии с инсталирани корекции на всички устройства, включително личните, използвани за работа. Инструментите за защита от мобилни заплахи могат да отбелязват необичайни сривове, неочаквани рестарти и изключено подписване на кода.

Екипите трябва също да пазят диагностични дневници за потребителите с висок риск, защото зловредният софтуер изтрива локалните следи. Собствениците на сайтове трябва да правят одит на скриптовете на трети страни и да прилагат строга Content Security Policy.

Индикатори за компрометиране (IoC):-

Забележка: IP адресите и домейните са умишлено дефангнати (напр. [.]), за да се предотврати случайно резолвиране или превръщане в хипервръзки. Връщайте оригиналния им вид само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или във вашия SIEM.