グーグルの脅威情報グループとセキュリティ企業iVerifyは、古いiOSバージョンを狙ったiPhoneの攻撃キット「Coruna」の詳細を発表しました。
この攻撃キットは、iOS 13からiOS 17.2.1までの未修正のiPhoneを標的とし、5つの完全なiOSエクスプロイトチェーンと23の脆弱性を利用しているということです。
Corunaは、複数の脆弱性を連鎖させることで、iPhoneのセキュリティ層を順次突破し、悪意のあるサイトを訪れた際に、デバイスモデルやシステムバージョンなどをチェックする隠されたJavaScriptを使用して攻撃を開始します。
この攻撃は、コアiOS保護を回避し、高レベルの特権を取得して、データを収集したり、追加のモジュールをダウンロードしたりするマルウェアをインストールすることができるとしています。
グーグルによれば、Lockdownモードが有効なデバイスではプロセスを中止し、プライベートブラウジングモードの場合も同様だということです。
この攻撃キットは、古いiOSバージョンを対象としており、最新のシステムバージョンには効果がないとしています。これは、デバイスを常に最新の状態に保つことが重要である理由の一つです。
また、iVerifyはCorunaの可能な起源について追加の文脈を提供するレポートを発表しました。
iVerifyの逆コンパイルによれば、Corunaは米国政府のハッキングツールと同じ基盤に基づいて構築されたようだとしています。
この攻撃キットは、ロシアのスパイや中国を拠点とするサイバー犯罪者によってキャンペーンで展開されているということです。
昨年の報告によると、スパイウェアはジャーナリストや反体制派などの市民社会の予想される標的を超えて、技術や金融サービスのエグゼクティブ、政治キャンペーン、影響力を持つ人々にまで広がっているとしています。
観測されたキャンペーンでは、iVerifyとグーグルは、偽の暗号通貨サービスを含む「ウォータリングホール」攻撃で攻撃キットが配信されたとしています。
これらのキャンペーンでは、最終的なペイロードは財政的な動機があるとされ、感染したデバイスから暗号通貨ウォレットデータや回復フレーズを抽出するためのモジュールが設計されているということです。
